Tietosuojavaltuutettu antoi Verohallinnolle huomautuksen liian laajoista tietopyynnöistä

Tietosuojavaltuutettu on antanut Verohallinnolle huomautuksen liian laajoista tietopyynnöistä. Tiistaina annettu huomautus liittyy siihen, että Verohallinto on esittänyt Suomessa toimiville pankeille tietopyyntöjä rajat ylittävistä tilisiirroista.

Huomautuksen lisäksi tietosuojavaltuutettu määräsi Verohallinnon poistamaan tietosuoja-asetuksen vastaisesti käsitellyt henkilötiedot ja lopettamaan liian laajojen tietopyyntöjen esittämisen pankeille.

Päätös ei ole vielä lainvoimainen. Siihen voi hakea muutosta valituksella hallinto-oikeuteen.

Tietosuojavaltuutetun toimiston tutkinnassa kävi ilmi, että Verohallinto oli pyytänyt pankeilta tietoja kaikista Suomen rajat ylittävistä tilisiirroista vuosina 2015–2021. Tietopyynnöt kattoivat muun muassa ulkomaisissa kaupoissa ja verkkokaupoissa pankkikortilla maksetut ostokset.

"Viranomaisen toimivalta rajattava tarkasti"

Tietosuojavaltuutettu katsoo, että Verohallinto ei ole huomioinut riittävästi henkilötietojen käsittelyyn liittyviä riskejä.

Sen sijaan Verohallinnon tietopyynnöt ovat kattaneet merkittävän osan pankkien asiakasrekistereistä tilinomistajien määrän perusteella. Verohallinto ei valtuutetun mukaan rajannut tietopyyntöjä esimerkiksi tilitapahtumien suuruuden perusteella tai huomioinut lapsia erityistä suojaa tarvitsevana ryhmänä.

Esimerkiksi vuoden 2018 osalta kolme suurinta pankkien Verohallinnolle toimittamaa tietoaineistoa sisälsi yhteensä lähes 18 miljoonaa tilitapahtumaa.

Valtuutettu korostaa, että henkilön yksityiselämästä voi saada nykyisin aiempaa yksityiskohtaisemman kuvan tilitapahtumien perusteella, kun käteisen rahan käytöstä on siirrytty yhä enemmän pankkitilin välityksellä tapahtuvaan maksuliikenteeseen.

–  Vaikka Verohallinnon päämäärä on ollut tärkeä, viranomaisen toimivalta on rajattava tarkasti ihmisten yksityisyyttä koskevissa asioissa, sanoo tietosuojavaltuutettu Anu Talus.

Hänen mukaansa toimivallan rajaus on eräs oikeusvaltion keskeisistä kulmakivistä.

–  Sen merkitys on vain korostunut maailmanpoliittisten kriisien keskellä.

Tietosuojavaltuutettu muistuttaa, että henkilötietoja ei saa kerätä tai käsitellä laajemmin kuin on välttämätöntä käyttötarkoituksen, tässä tapauksessa verovalvonnan, toteutumiseksi.

Talus toteaa, että Verohallinto on aineistot pankeilta saatuaan rajannut tutkittavia tilitapahtumia tarkempien kriteerien perusteella. Valtuutetun mukaan verottaja olisi kuitenkin voinut rajata pyytämiään tietoja jo etukäteen.

Verottaja ei vastahankaan

Verohallinnosta kerrottiin tiistaina STT:lle, että verottaja aikoo toimia tietosuojavaltuutetun ratkaisun mukaisesti.

–  Tässähän tuli meille huomautus sekä velvoitettiin, että muutamme (tietopyyntöjen) menettelyä ja hävitämme ne tiedot, joita olemme saaneet tietosuojavaltuutetun nyt tekemän ratkaisun kattamilla vertailutietojen tarkastuksilla, totesi johtava asiantuntija Taito von Konow Verohallinnosta.

Se, että verottajalla on mahdollisuus valittaa Taluksen ratkaisusta, ei von Konowin mukaan viivytä verottajan reagoimista valtuutetun vaatimiin muutoksiin.

–  Tietosuojavaltuutettu on huolellisesti arvioinut tämän asian. Verottaja tekee ne muutokset, joita valtuutettu kannanotossaan edellyttää. On liian aikaista arvioida sitä, tekeekö Verohallinto asiassa valituksen hallinto-oikeudelle vai ei.

Entä onko Verohallinnolla itsekritiikin paikka, kun tietosuojavaltuutetulta tuli nyt sekä huomautus että määräys?

–  Tietosuojavaltuutetun kannanotosta tulee hyvin ilmi, että hän ymmärtää, että verottajalla on olemassa valvonnallinen tarve. Ei siis ole kyse siitä, etteikö näiden tietojen käsittely olisi sinällään tarpeellista. Mutta verottajan keinot ovat olleet tässä tietosuojalainsäädännön näkökulmasta liiat laajat, johtava asiantuntija kommentoi.

Valtuutetun nyt tekemä päätös merkitsee von Konowin mukaan sitä, että vastedes tietopyyntöjen käsittelyyn tarvitaan entistä enemmän resursseja sekä Verohallinnossa että pankeissa.