Source: https://finlex.fi/fi/viranomaiset/ftie/2007/20070006
Timestamp: 2020-07-03 20:57:45+00:00

Document:
03.09.2007 6/2007 - Tietosuojalautakunta - FINLEX ®
Olet tässä: Finlex › Viranomaiset › Tietosuojalautakunta › 2007 › 03.09.2007 6/2007
03.09.2007 6/2007
Vuokraustoiminta - Rekisterinpitäjä - Yhteysvaatimus - Luovuttaminen - Henkilötunnus - Virheettömyysvaatimus - Oikeutettu etu
2/932/2007
Tietosuojalautakunta myönsi Teknisen Kaupan Liitto ry:n rakennuskonejaostoon kuuluville liiton jäsenyrityksille luvan saada ylläpitää yhteistä sulkulistaa henkilöistä, jotka ovat jättäneet vuokraamansa koneen palauttamatta taikka ovat laiminlyöneet maksaa riidattoman vuokrasaatavan.
Ks. myös päätökset T:1/2000 ja T:4/03
ASIA Henkilötietojen käsittelyä koskeva lupahakemus
Teknisen Kaupan Liitto ry (TKL) yhdistyksen rakennuskonejaostoon kuuluvien jäsenyritystensä puolesta
Tietosuojalautakunta on myöntänyt päätöksellään nro 4/12.5.2003 dnro 2/932/2003 Teknisen Kaupan Liitto ry:n rakennuskonejaostoksi organisoituneille jäsenyrityksille määräaikaisen luvan saada ylläpitää yhteistä sulkulistaa henkilöistä, jotka ovat jättäneet vuokraamansa koneen palauttamatta taikka ovat laiminlyöneet maksaa riidattoman vuokrasaatavan. Luvan voimassaolo on päättynyt 30.4.2007.
Teknisen Kaupan Liitto ry hakee lupaa sulkulistamenettelyn jatkamiseksi voimassa olevin lupaehdoin toistaiseksi.
Sulkulistamenettelyn tavoitteet ja niissä onnistuminen
Teknisen Kaupan Liitto on toteuttanut rakennuskonejaostona organisoituneiden alan konevuokrausta harjoittavien jäsenyritystensä toimeksiannosta ja tietosuojalautakunnan kolmen määräaikaisen luvan perusteella sulkulistaa.
Listalle on koottu lupaehtojen mukaiset tiedot asiakkaista, jotka ovat laiminlyöneet keskeisiä velvollisuuksiaan vuokrasuhteessa: vuokran maksun tai hyödykkeen palauttamisen. Sulkulista on ollut käytössä yhdeksän vuotta. Menettelyn tiedetään kokemusten perusteella ennalta estävän sen piirissä mahdollista talousrikollisuutta, jonka aiheuttamat taloudelliset tappiot ennen sulkulistamenettelyä ovat olleet jopa 1-2 % alan liikevaihdosta.
Tässä tavoitteessa on edelleen onnistuttu hyvin. Vuosina 2003-2007 sulkulistan piirissä olevien yritysten liikevaihto ja vuokraustoiminnan tavaravirta ovat kasvaneet voimakkaasti, ja samalla rakennusala on entisestäänkin fragmentoitunut ja kansainvälistynyt Suomessa. Menettelystä ei ole luvan määräaikana kertynyt valituksia. Koska vuokraustoiminta on ketjuuntuva palveluprosessi, häiriöiden vähentyminen on samalla parantanut rehellisten asiakkaiden palvelutasoa.
Menettelyn toiminnallinen kuvaus
Hakemuksen mukaan toiminta on suunniteltu ja toteutettu lupaehtojen mukaisella tavalla.
Sulkulistaan osallistuu yhteensä 176 toimipistettä. Sulkulistalle on saapunut vuoden 2000 alusta lukien 733 ilmoitusta. Valituksia ei ole esiintynyt, sillä mahdolliset erimielisyystilanteet hoidetaan hyödykkeiden vuokralleantajan ja vuokralleottajan välillä.
Väärinkäytöksen tapahduttua vuokraamo tekee ilmoituksen tapahtumasta liitolle sähköpostin välityksellä. Liitossa rekisteri-ilmoitukset tallennetaan extranet-tietokantaan, ja muutoksesta lähetetään edelleen kaikille sulkulistaringin toimipisteille sähköposti-ilmoitus. Samoin toimitaan peruutusilmoitusten suhteen.
Rekisteröidylle ilmoitetaan kirjeitse häntä koskevien tietojen kirjaamisesta rekisteriin.
Tietokantaan rekisteröidään vain yli 14 päivää vanhat tapaukset. Kolmea vuotta vanhemmat tapahtumat kuten myös peruutetut tapaukset poistetaan listalta.
Hakemuksen mukaan sulkulistamenettely on siten kehitetty lupaehtojen mukaisesti suojattuihin käyttöoikeuksiin perustuvaksi kyselypohjaiseksi järjestelmäksi. Tämä menettely TKL:n hallinnoimin käyttöoikeuksin on osoittautunut toimivaksi.
Hakemukseen liitetyn konevuokrauksen sulkulistan toimintamallin 2007 mukaan Teknisen Kaupan Liiton Extranetissä oleva sulkulista on kansioitu tiedosto, jonka käyttöön tarvitaan tunnus ja salasana. Kansiossa on suojatun ja päivitetyn sulkulistan lisäksi rekisteriseloste, tietosuojalautakunnan lupapäätös, lista mahdollisista reklamaatioista ja konevuokrauksen yleiset toimitusehdot.
Sähköpostilla sulkulistalle tehtäviin tapahtumailmoituksiin ja niiden perusteella laadittavalle sulkulistalle kerätään seuraavia tietoja:
- Ilmoituksen tehneen yrityksen nimi ja toimipisteen paikkakunta ja yhteystiedot
- Ilmoituspäivä ja kellonaika
- Ilmoittavan henkilön allekirjoitus ja nimenselvennys
- Vuokrauksen kohde (koneen/laitteen nimike)
- Vuokralleottajan nimi ja osoite
- Vuokralleottajan henkilötunnus tai syntymäaika tai henkilötunnuksen loppuosa
- Maininta siitä, ovatko ilmoitetut henkilötiedot vuokralleottajan todelliset henkilötiedot vai väärät
- Väärinkäytetyt todelliset henkilötiedot (kyseisen henkilön kirjallisella suostumuksella)
- Väärinkäytetyt vainajien henkilötiedot (vainajan omaisen kirjallisella suostumuksella)
- Väärinkäytettyjen henkilötietojen kohdalle tallennettaisiin maininta siitä, että kyseisiä henkilötietoja käyttää oikeudettomasti joku muu kuin asianomainen henkilö
- Vuokraesineiden nimikkeet
- Tieto tapahtumasta seuraavasti (rasti ruutuun valinnat):
1. Vuokran kohdetta ei palautettu ajoissa
Tätä kohtaa käytetään, kun vuokraesinettä ei ilmoitushetkellä ole palautettu. Mikäli esine palautetaan ilmoituksen jälkeen, on vuokraamon peruutettava ilmoitus, jolloin vuokralleottaja poistetaan sulkulistalta. Peruutusta ei kuitenkaan tarvitse tehdä, jos esine on palautushetkellä ollut myöhässä yli kuukauden.
2. Vuokra kokonaan maksamatta
Tämä edellyttää, että riidaton saatava on ilmoitushetkellä ollut yli 14 vuorokautta erääntyneenä ja on edelleen kokonaan maksamatta, eikä velalliselle ole myönnetty maksuaikaa. Jos vuokra maksetaan ilmoituksen jälkeen, on vuokraamon peruutettava ilmoitus, jolloin vuokralleottaja poistetaan sulkulistalta.
3. Loppuvuokra maksamatta
Tämä edellyttää, että riidaton saatava on ilmoitushetkellä ollut yli 14 vuorokautta erääntyneenä ja on edelleen osittain maksamatta, eikä velalliselle ole myönnetty maksuaikaa. Jos loppuvuokra maksetaan ilmoituksen jälkeen, on vuokraamon peruutettava ilmoitus, jolloin vuokralleottaja poistetaan sulkulistalta.
Ilmoituslomakkeella ilmoitetaan aikaisemman ilmoituksen peruutuksesta seuraavasti:
Peruutuksen syy:
1. Vuokraesineet palautettu
2. Vuokrarästi maksettu
3. Ilmoitus perustui väärinkäsitykseen
4. Tapaus on sovittu
Hakijalta 29.8.2007 sähköpostitse saatu lisäselvitys
Hakijoiden edustajan johtaja Heikki Ojanperän 27.8.2007 sähköpostitse antaman lisäselvityksen mukaan ilmoitukset sulkulistalle tehdään sähköpostitse, eikä suoraan TKL:n Extranetiin, koska on pidetty tietoturva/oikeusturvanäkökulmista epävarmana, voidaanko sulkulistan ylläpito-oikeutta delegoida kaikille käyttäjille. Toimipaikkoja, jotka käyttävät sulkulistaa, on lähes 200, ja niissä ilmoittajahenkilöt vaihtuvat jossakin määrin. Sähköpostiviestit yhdelle ainoalle ylläpitäjähenkilölle on koettu parhaaksi tavaksi välttää paperilappujen syntyminen ilmoituspäässä ja toisaalta vastaanottopäässä kontrolloida sulkulistalle kertyvä tietosisältö yhden pisteen kautta.
Ojanperän antaman selvityksen mukaan muutoksen kohdetta ei yksilöidä millään tavoin sähköpostijakelussa, jossa kerrotaan, että listalla on tapahtunut muutos. Näin menetellään, jotta ylimääräistä tietojenkäsittelyä ja niin muodoin tietoturvariskiä ei syntyisi.
Tietosuojavaltuutettu on ilmoittanut 28.8.2007 puhelimitse, että rekisteröidyiltä ei ole tullut sulkulistamenettelyä koskevia valituksia.
Edellisen hakemuksen yhteydessä tietosuojalautakunta pyysi tietosuojavaltuutetun lausuntoa siitä, oliko tietosuojavaltuutetulla huomautettavaa aikaisemman luvan 1/31.1.2000 nojalla toteutetusta järjestelystä. Erityisesti pyydettiin lausuntoa siitä, oliko tietosuojavaltuutetun tietoon tullut luvan nojalla toteutettuun henkilötietojen käsittelyyn liittyviä epäkohtia. Tietosuojavaltuutetun lausunnon 14.3.2003 Dnro 213/431/03 mukaan tietosuojavaltuutetun toimistoon ei ollut tullut tästä toimialan sisäisestä tiedonvaihdosta kirjattuja valituksia.
Rekisterinpitäjällä tarkoitetaan henkilötietolain 3 §:n 4 kohdassa yhtä tai useampaa henkilöä, yhteisöä, laitosta tai säätiötä, jonka käyttöä varten henkilörekisteri perustetaan ja jolla on oikeus määrätä henkilörekisterin käytöstä tai jonka tehtäväksi rekisterinpito on lailla säädetty.
Tietosuojalautakunta katsoo, että hakemuksessa tarkoitetun sulkulistan rekisterinpitäjänä ovat Teknisen Kaupan Liitto r.y:n rakennuskonejaostoon kuuluvat liiton jäsenyritykset.
Henkilötietojen käsittelyllä tarkoitetaan henkilötietolain 3 §:n 2 kohdassa kaikkia henkilötietoihin kohdistuvia toimenpiteitä, mm. henkilötietojen keräämistä, tallettamista, yhdistämistä, luovuttamista ja säilyttämistä.
Henkilötietolain 8 §:ssä säädetään henkilötietojen käsittelyn yleisistä edellytyksistä. Henkilötietoja saa käsitellä ainoastaan 8 §:n 1 momentin 1-9 kohdassa mainituilla edellytyksillä. Henkilötietolain 13 §:n 2 momentin mukaan henkilötunnusta saa käsitellä vuokraustoiminnassa.
Henkilötietoja saa käsitellä 8 §:n 1 momentin 1 kohdan nojalla rekisteröidyn yksiselitteisesti antamalla suostumuksella. Suostumuksella tarkoitetaan henkilötietolain 3 §:n 7 kohdassa kaikenlaista vapaaehtoista, yksilöityä ja tietoista tahdon ilmaisua, jolla rekisteröity hyväksyy henkilötietojensa käsittelyn.
Henkilötietoja saa käsitellä henkilötietolain 8 §:n 1 momentin 5 kohdan nojalla, jos rekisteröidyllä on asiakas- tai palvelussuhteen, jäsenyyden tai muun niihin verrattavan suhteen vuoksi asiallinen yhteys rekisterinpitäjän toimintaan (yhteysvaatimus). Henkilötietojen luovuttaminen voi kuitenkin tapahtua 1 momentin 5 kohdan nojalla vain, jos henkilötiedon luovuttaminen kuuluu tavanomaisena osana kysymyksessä olevan toiminnan harjoittamiseen edellyttäen, että tarkoitus, johon tiedot luovutetaan, ei ole yhteensopimaton henkilötietojen käsittelyn tarkoituksen kanssa ja että rekisteröidyn voidaan olettaa tietävän henkilötietojen tällaisesta luovuttamisesta.
Henkilötietoja saa käsitellä henkilötietolain 8 §:n 1 momentin 9 kohdan nojalla, jos tietosuojalautakunta on antanut käsittelyyn henkilötietolain 43 §:n 1 momentissa tarkoitetun luvan.
Virheettömyysvaatimus
Henkilötietolain 9 §:n 2 momentin mukaan rekisterinpitäjän on huolehdittava siitä, ettei virheellisiä henkilötietoja käsitellä. Rekisterinpitäjän velvollisuutta arvioitaessa on otettava huomioon henkilötietojen käsittelyn tarkoitus sekä käsittelyn merkitys rekisteröidyn yksityisyyden suojalle.
Tietosuojalautakunta katsoo, että mikäli vuokralleottaja on ilmoittanut väärät henkilötiedot, edellyttää henkilötietolain 9 §:n virheettömyysvaatimus, että tietojen kohdalle merkitään, että kyseessä eivät ole vuokralleottajan oikeat henkilötiedot.
Siltä osin kuin hakijoilla on edellä mainittu henkilötietolain 8 §:n 1 momentin 1 kohdassa tarkoitettu rekisteröidyn yksiselitteisesti antama suostumus henkilötietojen käsittelyyn, eivät hakijat tarvitse käsittelyyn tietosuojalautakunnan lupaa.
Lupaa ei tarvita myöskään siltä osin kuin henkilötietojen käsittelyssä täyttyy henkilötietolain 8 §:n 1 momentin 5 kohdassa tarkoitettu yhteysvaatimus.
Tietosuojalautakunta katsoo, että yhteysvaatimus toteutuu vuokralleottajan ja vuokranantajana olevan rakennuskonevuokraamon välillä. Yhteysvaatimus voi kuitenkin katketa esimerkiksi sen jälkeen kun saatava on suoritettu. Muilta osin yhteysvaatimus ei toteudu rakennuskonevuokraamoiden ja rekisteröitävien välillä.
Siltä osin kuin tarkoituksena on käsitellä niiden vuokraamon omien entisten asiakkaiden henkilötietoja, joiden osalta yhteysvaatimus ei täyty ja siltä osin kuin tarkoituksena on käsitellä toisen rakennuskonevuokraamon nykyisiä tai entisiä asiakkaita koskevia tietoja, tarvitsevat hakijat tietojen käsittelyyn tietosuojalautakunnan henkilötietolain 43 §:ssä tarkoitetun luvan.
Siltäkin osin kuin yhteysvaatimus täyttyy, voi henkilötietojen luovuttaminen toiselle hakijayritykselle tapahtua henkilötietolain 8 §:n 2 momentin mukaan vain, jos henkilötiedon luovuttaminen kuuluu tavanomaisena osana kysymyksessä olevan toiminnan harjoittamiseen edellyttäen, että tarkoitus, johon tiedot luovutetaan, ei ole yhteensopimaton henkilötietojen käsittelyn tarkoituksen kanssa ja että rekisteröidyn voidaan olettaa tietävän henkilötietojen tällaisesta luovuttamisesta.
Tietosuojalautakunta katsoo, että vuokralleottajia koskevien henkilötietojen luovuttaminen ei kuulu tavanomaisena osana rakennuskonevuokraustoiminnan harjoittamiseen. Rekisteröityjen ei myöskään voida olettaa tietävän henkilötietojensa tällaisesta luovuttamisesta. Näin ollen hakijat tarvitsevat tietosuojalautakunnan luvan myös tietojen luovuttamiseen yritysten välillä yhteistä sulkulistaa varten.
Henkilötietolain 43 §:n 1 momentin mukaan tietosuojalautakunta voi antaa 8 §:n 1 momentin 9 kohdassa tarkoitetun luvan henkilötietojen käsittelyyn mm., jos käsittely on tarpeen rekisterinpitäjän tai tiedot saavan sivullisen oikeutetun edun toteuttamiseksi edellyttäen, ettei tietojen tällainen käsittely vaaranna henkilön yksityisyyden suojaa ja oikeuksia.
Henkilötietolain 43 §:n 3 momentin mukaan lupa voidaan antaa määräajaksi tai toistaiseksi ja siihen on liitettävä rekisteröidyn yksityisyyden suojaamiseksi tarpeelliset määräykset.
Hakija on ylläpitänyt sulkulistaa tietosuojalautakunnan myöntämien määräaikaisten lupien nojalla jo vuodesta 1998 lukien. Sulkulistamenettelystä ei saadun selvityksen mukaan ole tullut valituksia. Hakija on kehittänyt sulkulistamenettelyä henkilötietojen käsittelyn kannalta turvallisemmaksi siirtämällä sulkulistan TKL:n Extranetiin, johon rakennuskonevuokraamoilla on pääsy vain käyttäjätunnuksin ja salasanoin. Hakijan antaman lisäselvityksen mukaan sähköpostitse ei enää ilmoiteta, mitä muutoksia sulkulistalla on tapahtunut, vaan vuokraamoille ilmoitetaan ainoastaan siitä, että muutos on tapahtunut.
Asiassa esitetyn perusteella tietosuojalautakunta katsoo, että hakemuksessa tarkoitetulla sulkulistalla, jolle kerätään tietoja vuokraesineen palauttamatta jättäneistä ja vuokranmaksunsa laiminlyöneistä, on mahdollista ehkäistä rakennuskonevuokraamoihin kohdistuvia väärinkäytöksiä. Tämän vuoksi tietosuojalautakunta katsoo, että hakemuksessa tarkoitettu henkilötietojen käsittely sulkulistaa varten on tarpeen hakijoiden oikeutetun edun toteuttamiseksi.
Edellä mainituista syistä tietosuojalautakunta myöntää hakijoina oleville Teknisen Kaupan Liitto ry:n rakennuskonejaostoon kuuluville liiton jäsenyrityksille luvan hakemuksessa kuvattuun henkilötietojen käsittelyyn ja oikeuttaa hakijat ylläpitämään yhteistä sulkulistaa henkilöistä, jotka ovat jättäneet vuokraamansa koneen palauttamatta taikka ovat laiminlyöneet maksaa riidattoman vuokrasaatavan.
Rekisteröidyn yksityisyyden suojaamiseksi tietosuojalautakunta määrää, että:
1) Rakennuskonevuokraamoiden on vuokraussopimuksia tehdessään ilmoitettava vuokraajalle hakemuksessa tarkoitetusta sulkulistasta ja sen käyttötarkoituksesta sekä siitä, millä perusteella sulkulistalle voi joutua.
2) Tietoa vuokran maksamatta jättämisestä ei saa rekisteröidä ennen kuin erääntynyt vuokra on ollut maksamatta 14 vuorokautta.
3) Rekisteröidylle on ilmoitettava viipymättä häntä koskevasta sulkulistalle tehdystä merkinnästä.
4) Rekisteröidylle on viipymättä ilmoitettava, jos vuokrasopimuksen syntymättä jääminen johtuu tämän luvan nojalla käsiteltävistä häntä koskevista tiedoista.
5) Sulkulistalla olevat ja sille ilmoitetut tiedot on hävitettävä viipymättä sen jälkeen kun ilmoittajalla ei enää ole rekisteröinnin aiheuttamaan tapahtumaan perustuvia sopimusperusteisia vaatimuksia rekisteröidyltä. Tiedot on kuitenkin hävitettävä sulkulistalta viimeistään kolmen vuoden kuluttua rekisteröinnin aiheuttaneesta tapahtumasta.
6) Rekisterinpitäjien on toteutettava henkilötietolain 32 §:ssä tarkoitetut tarpeelliset toimenpiteet sulkulistamenettelyssä käsiteltävien henkilötietojen suojaamiseksi laittomalta käsittelyltä.
Määräysten perustelut
1) Lupamääräys on asetettu, jotta vuokraaja saisi henkilötietolain 24 §:ssä tarkoitetun yleisen informaation lisäksi tiedon tässä luvassa tarkoitetusta sulkulistasta ja siihen tehtäviä merkintöjä koskevasta menettelystä.
2) Lupamääräyksellä halutaan varmistaa, ettei rekisteriin talleteta tahattomia tai tilapäisistä maksuvaikeuksista johtuvia maksun viivästymisiä.
3-4) Lupamääräykset on asetettu, jotta rekisteröity saisi tiedon rekisterimerkinnän käyttämisestä häntä koskevassa päätöksenteossa.
5) Tieto on perusteltua poistaa kun ilmoittajalla ei ole enää lupamääräyksessä tarkoitettuja vuokralleottajaan kohdistuvia vaatimuksia. Tieto on poistettava sulkulistalta viimeistään kolmen vuoden määräajassa, koska tiedon voidaan arvioida tässä ajassa useimmissa tapauksissa menettäneen merkityksensä kyseessä olevan henkilötietojen käsittelyn kannalta.
6) Ottaen huomioon käsiteltävien henkilötietojen laadun on tärkeää, että rekisterinpitäjä toteuttaa sellaiset tekniset järjestelyt, joilla voidaan mahdollisimman hyvin turvata rekisteröityjen yksityisyyden suoja kysymyksessä olevassa henkilötietojen käsittelyssä.
Lupamääräystä voidaan henkilötietolain 43 §:n 3 momentin nojalla muuttaa tai täydentää tietosuojavaltuutetun tai luvan saajan hakemuksesta, jos se muuttuneiden olosuhteiden vuoksi on tarpeen. Tietosuojalautakunta voi tietosuojavaltuutetun hakemuksesta peruuttaa luvan henkilötietolain 44 §:n 4 kohdan nojalla, kun edellytyksiä luvan myöntämiselle ei enää ole tai kun rekisterinpitäjä toimii luvan tai siihen liitettyjen määräysten vastaisesti.
Henkilötietolaki 3 § 4 kohta
Henkilötietolaki 3 § 7 kohta
Henkilötietolaki 8 § 1 mom
Henkilötietolaki 8 § 2 mom
Henkilötietolaki 9 § 2 mom
Henkilötietolaki 13 § 2 mom
Henkilötietolaki 32 §

References: § 4
 § 7
 § 1
 § 2
 § 2
 § 2