KHO:2020:8 — Beskattningsförfarande

Skatteförvaltningen hade med stöd av 21 § i lagen om beskattningsförfarande uppmanat bank A Abp att förete bland annat en lista över alla sina kunder i samband med genomförandet av en jämförelseuppgiftsgranskning. Högsta förvaltningsdomstolen ansåg med hänvisning till EU:s dataskyddsförordning att en sådan begäran om uppgifter inte var lagenlig. Skatteförvaltningens uppmaningsbeslut upphävdes.

Europaparlamentets och rådets förordning (EU) 2016/679 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning) artikel 5 och 6

Dataskyddslagen 4 § 2 punkten

Lagen om beskattningsförfarande 21 §

Ärendet har avgjorts av justitieråden Irma Telivuo, Mikko Pikkujämsä, Janne Aer, Antti Pekkala och Tero Leskinen. Föredragande Anu Punavaara.

Verohallinto oli verotusmenettelystä annetun lain 21 §:n nojalla kehottanut pankki A Oyj:tä esittämään muun ohella listauksen kaikista asiakkaistaan vertailutietotarkastuksen suorittamista varten. Korkein hallinto-oikeus katsoi Euroopan unionin tietosuoja-asetukseen viitaten, että tällainen tietopyyntö ei ollut lainmukainen. Verohallinnon kehotuspäätös kumottiin.

Euroopan parlamentin ja neuvoston asetus (EU) 2016/679 luonnollisten henkilöiden suojelusta henkilötietojen käsittelyssä sekä näiden tietojen vapaasta liikkuvuudesta ja direktiivin 95/46/EY kumoamisesta (yleinen tietosuoja-asetus) 5 ja 6 artikla

Tietosuojalaki 4 § 2 kohta

Laki verotusmenettelystä 21 §

Päätös, jota valitus koskee

Helsingin hallinto-oikeus 15.11.2017 nro 17/1141/6

Asian aikaisempi käsittely

on 20.2.2013 antamallaan päätöksellä kehottanut verotusmenettelystä annetun lain 21 §:n ja A-konsernin omien verotuksen velvoitteiden hoitoon liittyviltä osin verotusmenettelystä annetun lain 14 §:n nojalla A Oyj:tä esittämään päätöksessä mainitun kirjanpitoaineiston ja verotarkastusta varten tarvittavan muun aineiston tarkastettavaksi 31.3.2013 mennessä.

Yhtiötä on kehotettu esittämään kirjanpitoaineisto ja muu elinkeino- tai muuhun tulonhankkimistoimintaan liittyvä aineisto, josta selviävät seuraavat verotarkastuksessa tarpeelliset tiedot:

1. Tiedot asiakkaista

2. Tiedot myönnetyistä lainoista ajalta 1.1.2009 — 31.12.2012

3. Tiedot välitetyistä vakuutuksista (B Oy) ja vakuutuksiin liittyvistä säilytettävistä ja hoidettavista varallisuuksista (A Oyj) vakuutuskohtaisesti eriteltynä ajalta 1.1.2009 — 31.12.2012

4. Tiedot ulkomaan rahaliikenteestä ajalta 1.1.2009 — 31.12.2012

4.1 Suoritukset ulkomaille, 25 000 euroa ja sen ylittävät suoritukset

4.2 Ulkomailta saapuneet maksut, 25 000 euroa ja sen ylittävät suoritukset

4.3 Maalistauksen mukaiset maksut

4.4 Tilastot ulkomaan rahaliikenteestä

5. Tiedot tilisiirroista ajalta 1.1.2009 — 31.12.2012

6. Tiedot säilytyksessä olevan omistuksen siirroista ajalta 1.1.2009 — 31.12.2012

$152

$153

on valittanut Helsingin hallinto-oikeuteen ja vaatinut, että sille asetettu velvollisuus tietojen luovuttamiseen on poistettava Verohallinnon päätöksen kohtien 1 — 3 osalta sekä kohdassa 4 mainittujen tilastotietojen (kohta 4.4) ja maakohtaisten tietojen (4.3) osalta.

$156

on 30.8.2016 antamallaan päätöksellä taltionumero 3593 kumonnut Helsingin hallinto-oikeuden päätöksen ja palauttanut asian hallinto-oikeudelle uudelleen käsiteltäväksi. Korkein hallinto-oikeus on päätöksessään lausunut, että hallinto-oikeuden olisi tullut selvittää, mikä merkitys vaadittujen tietojen antamiseen liittyvällä työmäärällä ja kustannuksilla on yhtiölle esitetyn kehotuksen lainmukaisuuden arvioinnissa, ja ratkaista, miltä osin yhtiöllä on velvollisuus esittää Verohallinnon päätöksessä mainittu aineisto.

Hallinto-oikeuden ratkaisu

on hylännyt yhtiön vaatimuksen Euroopan unionin tuomioistuimen ennakkoratkaisun hankkimisesta.

Hallinto-oikeus ei ole tutkinut asiaa siltä osin kuin yhtiön esittämät vaatimukset koskevat seikkoja, joiden osalta asian on korkeimman hallinto-oikeuden päätöksellä 30.8.2016 taltionumero 3593 katsottava jäljempänä perusteluista ilmenevällä tavalla tulleen jo lainvoimaisesti ratkaistuksi.

Hallinto-oikeus on hylännyt valituksen siltä osin kuin valitus on tutkittu pidentäen kuitenkin aineiston esittämisvelvollisuutta koskevaa määräaikaa 31.1.2018 saakka.

Hallinto-oikeus on perustellut päätöstään muun ohella seuraavasti:

Yhtiön mukaan asiassa olisi tullut jo prosessin aiemmassa vaiheessa tehdä ennakkoratkaisupyyntö Euroopan unionin tuomioistuimelle. Hallinto-oikeus katsoo, ettei sen arvioitavana korkeimman hallinto-oikeuden palautuspäätöksen myötä ole sellaista Euroopan unionin oikeuden piiriin kuuluvaa tulkinnanvaraista asiaa, josta olisi aihetta pyytää ennakkoratkaisua Euroopan unionin tuomioistuimelta.

Korkein hallinto-oikeus on päätöksellään 30.8.2016 taltionumero 3593 kumonnut hallinto-oikeuden 25.6.2014 asiassa antaman päätöksen ja palauttanut asian hallinto-oikeudelle uudelleen käsiteltäväksi. Asiassa on sinänsä riidatonta, että korkeimman hallinto-oikeuden ratkaistavana oli tuossa vaiheessa ollut se, onko Verohallinnon päätös valituskelpoinen, onko verotusmenettelystä annetun lain 21 §:n mukainen vertailutietotarkistus menettelyiltään ja aineiston esittämisvelvollisuudeltaan samankaltainen kuin saman lain 14 §:n tarkoittama verotarkastus ja tuleeko saman lain 19 § sovellettavaksi arvioitaessa aineiston esittämisvelvollisuutta vertailutietotarkastuksessa.

Yhtiö on katsonut, että asia on kokonaisuudessaan vielä lainvoimaisesti ratkaisematta. Veronsaajien oikeudenvalvontayksikkö on katsonut, että edellä luetellut kolme oikeuskysymystä on korkeimman hallinto-oikeuden päätöksellä lainvoimaisesti ratkaistu.

Korkeimman hallinto-oikeuden päätöksen päätöslauselmassa on todettu, että hallinto-oikeuden päätös kumotaan ja asia palautetaan hallinto-oikeudelle uudelleen käsiteltäväksi perusteluista tarkemmin ilmenevistä syistä. Päätöksensä perusteluissa korkein hallinto-oikeus on ilmoittanut palauttamisen syyksi sen, että hallinto-oikeuden olisi tullut selvittää, mikä merkitys vaadittujen tietojen antamiseen liittyvällä työmäärällä ja kustannuksilla on esitetyn kehotuksen lainmukaisuuden arvioinnissa, ja ratkaista, miltä osin yhtiöllä on velvollisuus esittää vaadittu aineisto.

Hallinto-oikeus toteaa, että asian palauttamiselle hallinto-oikeudelle uudelleen käsiteltäväksi ei ole korkeimman hallinto-oikeuden päätöksen perusteluissa esitetty muuta syytä kuin tietojen antamiseen liittyvän työmäärän ja kustannusten merkityksen arviointi. Tämä palautusperusteena oleva, vielä selvittämättömäksi katsottu asia ei ole sen luonteinen, että se olisi ratkaistava ennen edellä lueteltujen kolmen riidanalaisen oikeuskysymyksen ratkaisemista.

Korkeimman hallinto-oikeuden päätöksen perusteella asiassa on tietojen antamisesta aiheutuva työmäärä ja kustannukset huomioon ottaen tutkittava, miltä osin Verohallinnon päätöksen mukainen tietojen esittämisvelvollisuus on olemassa yhtiön kohdalla. Avoimeksi on siis asiassa korkeimman hallinto-oikeuden päätöksen perusteella jäänyt ainoastaan yhtiölle aiheutuvan työmäärän ja kustannusten merkitys, johon ei ollut hallinto-oikeuden päätöksessä otettu kantaa. Ei ole aihetta katsoa, että asia olisi palautettu sanotulla perusteella hallinto-oikeudelle uudelleen käsiteltäväksi, jos korkein hallinto-oikeus olisi tarkoittanut tässä vaiheessa vielä jättää avoimeksi myös kysymyksen siitä, onko tietojen esittämisvelvollisuutta olemassa niilläkään perusteilla, joilta osin hallinto-oikeus oli 25.6.2014 antamassaan päätöksessä jo asian arvioinut.

Hallinto-oikeuden päätöksessä 25.6.2014 valituksenalaisen Verohallinnon päätöksen lainmukaisuus on, yhtiölle aiheutuvien kustannusten ja työmäärän merkitystä lukuun ottamatta, tutkittu ja arvioitu perustuslain, henkilötietolain ja hallinnon yleisten oikeusperiaatteiden valossa. Hallinto-oikeuden päätöksessä on katsottu, että vertailutietotarkistuksen toimittamiseen ei ole yhtiön kohdalla estettä. Korkeimman hallinto-oikeuden ei voida katsoa päätöksellään kumonneen hallinto-oikeuden päätöstä näiltä osin. Näiltä osin asian on katsottava tulleen korkeimman hallinto-oikeuden päätöksen myötä lainvoimaisesti ratkaistuksi, eikä hallinto-oikeus voi kustannusten ja työmäärän vaikutusta lukuun ottamatta tutkia asiaa uudelleen.

Asiassa on hallinto-oikeudessa edellä todetulla ratkaistavana se, onko Verohallinnon päätös lain ja hallinnon oikeusperiaatteiden mukainen yhtiölle aiheutuvat kustannukset ja työmäärä huomioon ottaen ja, jos ei ole, onko valituksenalaista päätöstä joltakin osin muutettava tällä perusteella. Korkeimman hallinto-oikeuden on katsottava palauttaneen asian hallinto-oikeudelle ainoastaan tämän asian arvioimiseksi.

(- -)

3.2. Työmäärää ja kustannuksia koskevan selvityksen riittävyys

$15c

3.3. Vertailutietotarkastuksen lainmukaisuus yhtiölle aiheutuvan työmäärän ja kustannusten valossa

Hallinto-oikeus katsoo, ettei asiassa esitetyn selvityksen perusteella ole syytä olettaa, että yhtiölle asiassa aiheutuvien kustannusten ja ylimääräisen työn määrä olisi muihin vertailutietotarkastuksen kohteena oleviin luottolaitoksiin verrattuna poikkeuksellinen. Yhtiö ei ole myöskään esittänyt selvitystä kulujen ja työn määrän poikkeuksellisuudesta muihin luottolaitoksiin verrattuna, vaikka sillä olisi ollut tähän mahdollisuus. Yritysverotusyksikön lausunnon mukaan muut vertailutietotarkastuksen kohteena olevat luottolaitokset eivät ole esittäneet väitteitä työn ja kustannusten määrän kohtuuttomuudesta, mikä ei tue yhtiön näkemystä siitä, että Verohallinnon tietopyyntö olisi kohtuuton ja suhteellisuusperiaatteen vastainen.

Yhtiö voi hoitaa lakisääteiset velvoitteensa itselleen käytännöllisimmäksi katsomallaan tavalla, jonka laki mahdollistaa. Yhtiö ei kuitenkaan voi kieltäytyä tietojen esittämisvelvollisuudesta vertailutietotarkastusta varten sillä perusteella, että sen joidenkin velvoitteiden hoitamisesta huolehtii ulkopuolinen taho yhtiön oman henkilökunnan asemesta. Koska yhtiöltä pyydettävät tiedot ovat Yritysverotusyksikön lausunto huomioon ottaen tietoja, jotka yhtiöllä lain mukaan joko on tai ainakin pitäisi jo olla hallussaan, Verohallinnon päätöksen kohtuullisuutta arvioitaessa ei voida antaa merkitystä sille, että yhtiö mahdollisesti joutuu tiedot esittääkseen turvautumaan ulkopuolisen tahon apuun.

Tietosuojadirektiivin ja henkilötietolain säännösten osalta hallinto-oikeus toteaa vielä, että mainittujen säännösten soveltuvuus ja vaikutus käsillä olevaan asiaan on tutkittu ja lainvoimaisesti ratkaistu korkeimman hallinto-oikeuden päätöksellä siltä osin kuin asiaa ei ole palautettu hallinto-oikeudelle uudelleen arvioitavaksi. Kustannusten ja työmäärän vaikutuksen osalta hallinto-oikeus toteaa, etteivät rekisterinpitäjälle tietopyynnön johdosta mahdollisesti aiheutuvat lisätyöt ja lisäkustannukset ole henkilötietolain mukainen peruste, joka oikeuttaisi rekisterinpitäjää kieltäytymään tietojen esittämisestä Verohallinnolle vertailutietotarkastusta varten.

3.4. Lopputulos

A Oyj on velvollinen esittämään valituksenalaisessa päätöksessä mainitut tiedot Verohallinnolle kokonaisuudessaan vertailutietotarkastuksen toimittamista varten. Tietojen esittämisvelvollisuus kuuluu VMA 3 §:n ja 4 §:n nojalla yhtiön velvollisuuksiin. Kun kyse on tiedoista, jotka yhtiöllä tulee lain nojalla olla hallussaan, tietojen esittämistä koskevaa Verohallinnon kehotusta ei voida pitää hallinnon oikeusperiaatteiden vastaisena A Oyj:lle asiassa aiheutuvat lisäkustannukset tai ylimääräisen työn määräkään huomioon ottaen.

Valituksenalaisessa päätöksessä A Oyj:tä on kehotettu esittämään päätöksessä mainittu kirjanpitoaineisto ja verotarkastusta varten tarvittava muu aineisto Verohallinnolle 31.3.2013 mennessä. Kun otetaan huomioon valitusasian käsittelyn kesto, hallinto-oikeus katsoo kohtuulliseksi pidentää edellä mainittua määräaikaa 31.1.2018 saakka. Valituksenalaista päätöstä ei muilta osin muuteta.

Käsittely korkeimmassa hallinto-oikeudessa

A Oyj on pyytänyt lupaa valittaa hallinto-oikeuden päätöksestä ja valituksessaan vaatinut, että hallinto-oikeuden päätös kumotaan. Korkeimman hallinto-oikeuden on ratkaistava asia suoraan tai palautettava asia hallinto-oikeudelle uudelleen käsiteltäväksi.

Pankki on perustellut vaatimuksiaan muun ohella seuraavasti:

Luottolaitoksella ei ole velvollisuutta esimerkiksi sellaisten asiakirjojen laatimiseen, joita sillä ei ole tai jotka sen pitäisi teettää jollain muulla taholla. Jos Verohallinto on pyytänyt luottolaitokselta esimerkiksi jotain asiakirjaa tai tietoa, jota luottolaitoksella ei lain mukaan tarvitse olla, Verohallinnon tietopyyntöä ei voida pitää lainmukaisena tältä osin.

Verohallinnon tietopyynnön kohdan 3 osalta yhtiö on jo aiemmin prosessissa esittänyt, että se ei ole juridinen osapuoli siinä mainituissa vakuutussopimuksissa. Vakuutussopimukset on tehty vakuutuksenottajan ja ulkopuolisen vakuutusyhtiön kesken. Kaikki tehdyt vakuutussopimukset eivät tule yhtiön tietoon esimerkiksi tilanteissa, joissa vakuutuksen alainen omaisuus siirtyy muualta yhtiöön hallinnoitavaksi, eikä sille myöskään välttämättä tule tietoa vakuutussopimusten ja niiden ehtojen muutoksista, koska nämä liittyvät vakuutuksenottajan ja vakuutusyhtiön väliseen sopimussuhteeseen. Hallinto-oikeus ei näytä lainkaan arvioineen näiden seikkojen vaikutusta.

Verotarkastajat ovat pyytäneet yhtiötä antamaan kaiken mahdollisen tiedon ilman rajauksia. Väitetty tietopyynnön rajaaminen 10 kenttään on epärelevantti argumentti asian ratkaisemisen kannalta ja voi jopa johtaa harhaan. Tietojen toimittaminen edellyttää sitä, että yhtiö ensiksi rakentaa koko tietoaineiston verotarkastajien käyttöön, mikä käytännössä jo itsessään johtaa tietojen massaluovutukseen ilman rajauksia.

EU:n tietosuoja-asetus tuli voimaan toukokuussa 2016 ja sen soveltaminen alkaa 25.5.2018. Asetuksen johdantokappaleen kohdan 31 mukaan viranomaisten lähettämien luovutuspyyntöjen olisi aina oltava kirjallisia, perusteltuja ja satunnaisia, eikä niiden pitäisi koskea kokonaista rekisteriä tai johtaa rekisterien yhteenliittämiseen. Näiden viranomaisten olisi käsiteltävä henkilötietoja sovellettavien tietosuojasääntöjen ja tietojenkäsittelyn tarkoitusten mukaisesti. Kun tarkastellaan yhtiön saamaa tietopyyntöä, voidaan perustellusti kyseenalaistaa sen EU:n tietosuoja-asetuksen mukaisuus.

on vastineessaan esittänyt valituksen hylkäämistä.

Oikeudenvalvontayksikkö on esittänyt perusteluinaan muun ohella seuraavaa:

Korkein hallinto-oikeus ei voi ottaa käsillä olevaa asiaa enää sen pääasiallisten oikeuskysymysten osalta uudelleen tutkittavakseen, koska asia on näiden oikeuskysymysten osalta jo lainvoimaisesti ratkaistu korkeimman hallinto-oikeuden aiemmalla päätöksellä.

Hallinto-oikeus on menetellyt asiassa korkeimman hallinto-oikeuden aiemmassa päätöksessä tarkoitetulla tavalla. Täten oikeudenvalvontayksikkö katsoo, toisin kuin yhtiö, että hallinto-oikeuden päätös on sisällöltään oikea ja perustuu virheettömään laintulkintaan.

Yhtiö on todennut kehotuksen tietopyyntökohdan numero 3 osalta esitetyistä näkökohdista, että se on B Oy:n emoyhtiö. Tämän vuoksi oikeudenvalvontayksikkö pitää todennäköisenä, että yhtiöllä on hallussaan tai saatavilla myös kehotuksessa pyydetyt tiedot mainitun tytäryhtiön välittämistä vakuutuksista. Kuten Helsingin hallinto-oikeuden asiassa antamista päätöksistä ilmenee, yhtiöllä ei ole Verohallinnon kehotuksen johdosta velvollisuutta sellaisten asiakirjojen tai tietojen laatimiseen tai esittämiseen, joita yhtiöllä ei ole tai jotka sen pitäisi teettää jollakin muulla taholla.

Yhtiö esittää edelleen virheellisen tosiseikkatiedon siitä, että verotarkastajat olisivat pyytäneet sitä antamaan kaiken mahdollisen tiedon ilman rajauksia. Tämä väite ei pidä paikkaansa. Verohallinto ei ole kehottanut yhtiötä esittämään koko asiakasrekisterinsä tietosisältöä (yhteensä yli 150 tietokenttää), vaan ainoastaan yhteensä noin 10 tietokentän osalta per asiakas. Tämä tosiseikkatieto on myös todettu hallinto-oikeuden päätöksen perusteluissa.

Tietosuoja-asetuksella ei ole merkitystä, kun käsillä oleva asia ratkaistaan. Tämä johtuu siitä, että kehotuksessa yhtiöltä on pyydetty tietoja ajanjaksolta 1.1.2009 — 31.12.2012. Mainittu tietosuoja-asetus on sen sijaan tullut voimaan vasta 25.5.2016 ja sen soveltaminen jäsenvaltioissa on alkanut 25.5.2018. Lähtökohtaisesti jo mainittujen ajallisten erojen vuoksi oikeudenvalvontayksikkö katsoo, että tietosuoja-asetuksella ei ole käsillä olevassa asiassa merkitystä. Yhtiö ei voi kieltäytyä esittämästä Verohallinnolle kehotuksessa mainittuja tietoja ja aineistoja myöskään tietosuojadirektiivin tai henkilötietolain säännösten nojalla.

on antanut vastaselityksen, joka on lähetetty tiedoksi oikeudenvalvontayksikölle. Yhtiö on esittänyt muun ohella, että tietopyynnöt, joita yhtiölle on esitetty, ovat tietosuoja-asetuksen vastaisia. Lisäksi on otettava huomioon, että tietopyynnön esittämisen aikaan voimassa olleen tietosuojadirektiivin 95/46/EY tarkoitus ja henki on sama kuin tietosuoja-asetuksessa. Myös tietosuojavaltuutettu on katsonut, ettei lainsäätäjä ole tarkoittanut luottolaitoksia koskevista vertailutietotarkastuksista säätäessään, että kohdentamattomia tietopyyntöjä voitaisiin esittää. Tietosuoja- ja tietoturvanäkökohdilla on liittymä myös tietopyynnön lainmukaisuuden arviointiin.

on pyytänyt tietosuojavaltuutetun lausuntoa.

on antanut lausunnon. Lausunnossa on todettu muun ohella seuraavaa:

Tietosuojavaltuutettu on antanut asian aiemmassa käsittelyvaiheessa yhtiölle ja Verohallinnolle 18.10.2012 lausunnon. Nyt käsiteltävänä olevaa kysymystä on tarkasteltu henkilötietolain (523/1999) näkökulmasta ja kiinnitetty huomiota muun muassa luovutettavien tietojen tarpeellisuuteen vertailutietotarkastuksessa. Yleinen tietosuoja-asetus on henkilötietolakia yksityiskohtaisempi myös näiden säännösten osalta, mutta se ei tältä osin muuta oikeustilaa siten, että tietosuojavaltuutetun asiassa aiemmin lausumaa olisi tässä yhteydessä syytä tarkistaa. Tietosuojavaltuutetun 18.10.2012 antamassa lausunnossa esitetty yhteenveto ja johtopäätökset ovat siten asian käsittelyn kannalta olennaisia.

On huomattava, että vaikka Verohallinnon päätös on tehty ennen yleisen tietosuoja-asetuksen soveltamisen alkamista, tietopyyntöä ei ole vielä laitettu täytäntöön. Mahdollinen tietojen luovutus tapahtuisi siten vasta yleisen tietosuoja-asetuksen soveltamisen jo alettua.

Yleisen tietosuoja-asetuksen säännöksistä erityistä huomiota tulisi kiinnittää 5 artiklan mukaisiin henkilötietojen käsittelyn periaatteisiin sekä 25 artiklassa säädettyyn sisäänrakennettuun ja oletusarvoiseen tietosuojaan. Kuten tietosuojavaltuutettu on asian aiemmassa käsittelyvaiheessa todennut, vertailutietotarkastuksella kerättävien tietojen tulisi olla olennaisia kyseessä olevan asian selvittämiseksi sekä rajoitettuja siihen, mikä on tarpeellista suhteessa niihin tarkoituksiin, joita varten niitä käsitellään. Vertailutietotarkastuksen tekeminen ei vaikuta edellyttävän koko asiakasrekisterin luovuttamista. Tietojen luovuttaminen on henkilötietoja koskevien säännöksien mukaista ainoastaan siltä osin kuin luovutettavat tiedot ovat tarpeellisia. Vertailutietotarkastus tulisi suunnitella siten, ettei siinä lähtökohtaisesti kerätä tarpeetonta tietoa varmuuden vuoksi tai kustannussyistä. Lisäksi laajojen tietokantojen siirtely myös nostaa riskiä tietoturvallisuuden näkökulmasta.

on varattu tilaisuus lausua apulaistietosuojavaltuutetun lausunnon johdosta. Yhtiö on antanut lausuman sekä täydentänyt samalla valitustaan.

on antanut lisälausuman.

on antanut lausuman, joka on lähetetty tiedoksi Veronsaajien oikeudenvalvontayksikölle.

Korkeimman hallinto-oikeuden ratkaisu

Korkein hallinto-oikeus on myöntänyt A Oyj:lle valitusluvan.

2. Pankin hallinto-oikeudelle esittämä vaatimus ennakkoratkaisun pyytämisestä Euroopan unionin tuomioistuimelta hylätään.

3. Valitus hyväksytään. Hallinto-oikeuden päätös ja Verohallinnon kehottamispäätös 20.2.2013 valituksenalaisin osin kumotaan.

Perustelut

Korkein hallinto-oikeus on 30.8.2016 antamallaan päätöksellään taltionumero 3593 kumonnut Helsingin hallinto-oikeuden 25.6.2014 antaman päätöksen nro 14/0570/6 ja palauttanut asian päätöksensä perusteluista ilmenevistä syistä hallinto-oikeudelle uudelleen käsiteltäväksi. Korkein hallinto-oikeus on perusteluissaan lausunut, että hallinto-oikeuden olisi tullut selvittää, mikä merkitys vaadittujen tietojen antamiseen liittyvällä työmäärällä ja kustannuksilla on esitetyn kehotuksen lainmukaisuuden arvioinnissa, ja ratkaista, miltä osin pankilla on velvollisuus esittää vaadittu aineisto.

$166

Korkein hallinto-oikeus toteaa, että hallinto-oikeuden päätös 25.6.2014 on kumottu kokonaisuudessaan. Vaikka hallinto-oikeutta on ohjattu selvittämään tietojen antamiseen liittyvän työmäärän ja kustannusten merkitystä pankille esitetyn kehotuksen lainmukaisuuden arvioinnissa, hallinto-oikeuden on tullut lisäselvitysten hankkimisen jälkeen kaikilta osin ratkaista, miltä osin pankilla on velvollisuus esittää vaadittu aineisto. Hallinto-oikeuden olisi tullut ottaa tällöin tarpeellisin osin huomioon myös perustuslaki, henkilötietolaki ja hallinnon yleiset oikeusperiaatteet.

Hallinto-oikeus on kuvatuin tavoin asian tutkimista rajoittaessaan menetellyt olennaisella tavalla virheellisesti. Hallinto-oikeuden päätös on tämän vuoksi kumottava ja poistettava. Asiassa jo saatu selvitys huomioon ottaen pankin valitus hallinto-oikeudelle on kuitenkin otettava enemmän viivytyksen välttämiseksi asiaa hallinto-oikeudelle palauttamatta täällä välittömästi ratkaistavaksi.

A Oyj on hallinto-oikeudessa vaatinut, että asiassa pyydetään Euroopan unionin toiminnasta tehdyn sopimuksen (SEUT) 267 artiklassa tarkoitettu ennakkoratkaisu yksilöiden suojelusta henkilötietojen käsittelyssä ja näiden tietojen vapaasta liikkuvuudesta annetun direktiivin (95/46/EY) tulkinnasta.

Unionin tuomioistuimen oikeuskäytännöstä ilmenee, että velvollisuutta tehdä SEUT 267 artiklassa tarkoitettu ennakkoratkaisupyyntö ei ole silloin, jos kansallisessa tuomioistuimessa ei esiinny todellista epäilyä unionin tuomioistuimen olemassa olevan oikeuskäytännön soveltamismahdollisuudesta asiaan tai jos on täysin selvää, miten unionin oikeutta on kyseisessä tilanteessa asianmukaisesti sovellettava.

Kun otetaan huomioon jäljempänä ilmenevät pääasiaratkaisun perustelut, asiassa ei ole tullut esille sellaista kysymystä, jonka johdosta ennakkoratkaisupyynnön esittäminen olisi edellä mainittu huomioon ottaen tarpeen.

Verohallinnon 20.2.2013 antama kehotuspäätös on valituskelpoinen vain siltä osin kuin pankkia on kehotettu esittämään tarkoitettu aineisto vertailutietotarkastusta koskevan verotusmenettelystä annetun lain 21 §:n nojalla. Pankki on osin tyytynyt päätökseen tältäkin osin, ja sen valitus on kohdistunut päätöksen kohtiin 1 — 3 sekä 4.4 ja 4.3. Asiassa on kysymys päätöksen lainmukaisuuden arvioimisesta tältä osin.

Hallintopäätöksen lainmukaisuutta on siihen kohdistuvan valituksen yhteydessä yleensä arvioitava päätöksen tekemisajankohdan mukaan. Tässä asiassa on otettava huomioon, että päätöstä ei ole vielä pantu täytäntöön ja että tietosuojalainsäädäntö on päätöksen tekemisen 20.2.2013 jälkeen ratkaisevasti muuttunut. Korkein hallinto-oikeus katsoo perustelluksi ensin arvioida, estääkö nykyinen tietosuojalainsäädäntö päätöksen mahdollisen täytäntöönpanon.

21 §:n mukaan verotarkastus voidaan toimittaa myös yksinomaan siinä tarkoituksessa, että kerätään tietoja, joita voidaan käyttää muun verovelvollisen verotuksessa (vertailutietotarkastus).

Euroopan parlamentin ja neuvoston asetuksen (EU) 2016/679 luonnollisten henkilöiden suojelusta henkilötietojen käsittelyssä sekä näiden tietojen vapaasta liikkuvuudesta ja direktiivin 95/46/EY kumoamisesta (yleinen

) johdanto-osan kohdan 31 mukaan viranomaisia, kuten vero- ja tulliviranomaisia, talousrikosten tutkintayksiköitä, riippumattomia hallintoviranomaisia tai rahoitusmarkkinaviranomaisia, joille luovutetaan henkilötietoja lakisääteisen velvoitteen mukaisesti niiden julkisen tehtävän suorittamiseksi ja jotka vastaavat arvopaperimarkkinoiden sääntelystä ja valvonnasta, ei olisi pidettävä tietojen vastaanottajina niiden vastaanottaessa tietoja, jotka ovat tarpeen jonkin tietyn yleisen edun vuoksi tehtävän tutkimuksen toteuttamiseksi unionin tai jäsenvaltion lainsäädännön mukaisesti. Viranomaisten lähettämien luovutuspyyntöjen olisi aina oltava kirjallisia, perusteltuja ja satunnaisia, eikä niiden pitäisi koskea kokonaista rekisteriä tai johtaa rekisterien yhteenliittämiseen. Näiden viranomaisten olisi käsiteltävä henkilötietoja sovellettavien tietosuojasääntöjen ja tietojenkäsittelyn tarkoitusten mukaisesti.

Tietosuoja-asetuksen määritelmiä koskevan 4 artiklan mukaan asetuksessa tarkoitetaan

Tietosuoja-asetuksen 5 artikla koskee henkilötietojen käsittelyä koskevia periaatteita. Artiklan 1 kohdan mukaan henkilötietojen suhteen on noudatettava muun ohella seuraavia vaatimuksia:

Tietosuoja-asetuksen 6 artikla koskee käsittelyn lainmukaisuutta. Artiklan 1 kohdan e alakohdan mukaan käsittely on lainmukaista muun ohella silloin kun seuraava edellytys täyttyy:

Saman artiklan 3 kohdan mukaan edellä olevan 1 kohdan c ja e alakohdassa tarkoitetun käsittelyn perustasta on säädettävä joko

$175

4 §:n 2 kohdan mukaan henkilötietoja saa käsitellä tietosuoja-asetuksen 6 artiklan 1 kohdan e alakohdan mukaisesti, jos käsittely on tarpeen ja oikeasuhtaista viranomaisen toiminnassa yleisen edun mukaisen tehtävän suorittamiseksi.

Tietosuojalaki on tullut voimaan 1.1.2019.

Tietosuoja-asetusta on tullut soveltaa kaikissa jäsenvaltioissa 25.5.2018 lukien. Nimettyjä pankin asiakkaita koskevien tietojen kerääminen vertailutietotarkastusta varten merkitsee tietosuoja-asetuksen alaan kuuluvaa tietojen käsittelyä. Mainitun ajankohdan jälkeen kehotuspäätöksen täytäntöönpano valituksenalaisin osin on ollut lain mukaan mahdollista vain tietosuoja-asetuksen asettamissa rajoissa.

Vertailutietotarkastusta koskevaa verotusmenettelystä annetun lain 21 §:ää ei ole tietosuoja-asetuksen voimaantulon yhteydessä muutettu. Tietojen käsittelyn lainmukaisuutta koskevan tietosuoja-asetuksen 6 artiklan 3 kohdan toisesta alakohdasta ilmenevällä tavalla jäsenvaltion lainsäädännön on täytettävä yleisen edun mukainen tavoite ja oltava oikeasuhteinen sillä tavoiteltuun oikeutettuun päämäärään nähden. Koska oikeasuhteisuuden vaatimus ei nimenomaisesti ilmene verotusmenettelystä annetun lain 21 §:stä, säännöstä tietosuoja-asetuksen voimaantulon jälkeen sovellettaessa on otettava huomioon myös tietosuojalain 4 §:n 2 kohta. Vain näin tulkiten kansallinen lainsäädäntömme tältä osin täyttää tietosuoja-asetuksesta lainmukaisuudelle ja tämän edellyttämälle oikeasuhteisuudelle johtuvat vaatimukset. Tietosuoja-asetus on tältä osin yksiselitteinen.

Korkein hallinto-oikeus toteaa, että nyt kysymyksessä olevan oikeasuhteisuuden arvioimisessa on otettava huomioon yhtäältä julkisen vallan käyttämiseen kuuluva verovalvonnan turvaaminen tietojen keräämistä puoltavana tekijänä ja toisaalta tietosuoja-asetuksen 5 artiklan 1 kohdan a — c alakohdista ilmenevät kohtuullisuuden ja läpinäkyvyyden, käyttötarkoitussidonnaisuuden sekä tietojen minimoinnin vaatimukset tietojen keräämistä rajoittavina seikkoina.

Valituksenalaiseen päätökseen ei sisälly arviointia päätöksen vaikutuksista silloisen henkilötietolainsäädännön tavoitteiden kannalta.

Tietosuoja-asetuksen johdanto-osa ei kuulu sovellettaviin säännöksiin, mutta siinä on ilmaistu niitä tavoitteita ja päämääriä, joihin asetuksen eri artikloilla on pyritty. Kun otetaan huomioon johdanto-osan kohta 31, viranomaisen tietopyynnön ei ole yleensä katsottava täyttävän oikeasuhteisuuden vaatimusta silloin, kun tietopyyntö koskee kokonaista rekisteriä.

Korkein hallinto-oikeus toteaa, että valituksenalainen kehotuspäätös on muun ohella kattanut listauksen pankin kaikista asiakkaista 31.12.2012 ajankohdan mukaan ja tietyt kutakin asiakasta koskevat tiedot. Tietopyyntöä ei ole tältä osin pyrittykään rajaamaan sellaisiin asiakkaisiin, joita koskevien tietojen voidaan olettaa olevan verovalvonnan toteuttamiseksi tarpeellisia. Vaikka tietopyyntö ei ole ulottunut kaikkiin tietueisiin, joita pankin asiakasrekisteriin on eri asiakkaista merkitty, tietopyynnön toteuttaminen on vaikutuksiltaan rinnastettavissa kokonaisen asiakasrekisterin luovuttamiseen.

Korkeimman hallinto-oikeuden toimivaltaan ei kuulu ensiasteena arvioida, miten kohdennettuna nyt kysymyksessä olevan kaltainen tietosuojapyyntö voidaan tietosuoja-asetuksen voimaantulon jälkeen toteuttaa. Kun joka tapauksessa on selvää, että tietopyynnön toteuttamiselle tällaisenaan on tietosuoja-asetuksesta ja tietosuojalain 4 §:n 2 kohdasta johtuva este, valituksenalainen Verohallinnon kehotuspäätös on kumottava siitä riippumatta, miten sen lainmukaisuutta päätöksentekoajankohdan mukaan olisi arvioitava.

Asian ovat ratkaisseet oikeusneuvokset Irma Telivuo, Mikko Pikkujämsä, Janne Aer, Antti Pekkala ja Tero Leskinen. Asian esittelijä Anu Punavaara.

Verohallinto

listaus asiakkaista 31.12.2012 ajankohdan mukaan

asiakastunnus (henkilötunnus, y-tunnus, tin eli taxpayer identification numbers)

nimi, asuinvaltio ja (mikäli tietokannassa) kansalaisuus

aktiivinen/passiivinen (pankin oman määritelmän mukaan)

asiakkuustyyppi/palvelut esimerkiksi seuraavasti: pankkiasiakas, kaupankäyntiasiakas (ja pankkiasiakas), omaisuudenhoitoasiakas (ja pankkiasiakas sekä mahdollisesti kaupankäyntiasiakas).

asiakastunnus ja asiakkaan nimi (velallinen)

lainan numero ja eräpäivä

käyttötarkoitus, korko, velan määrät ja antopäivämäärä

lyhennykset ja niiden maksuhetket

vakuudet (käytetyt tekniset yksilöintitiedot kuten pankin järjestelmän koodi, tyyppi, numero, tunnus, nimi, vakuuden sijaintivaltio)

vakuuden antajan yksilöintitiedot

vakuuden arvo, joka on vakuusarvon perusteena.

edunsaajien yksilöintitiedot (vrt. kohdassa 1. asiakaslistaus mainitut erittelyt)

vakuutuksen yksilöintitiedot (vakuuttajan yksilöintitiedot, vakuutuksen numero, nimi ja muut vastaavat tiedot)

vakuutukseen kuuluvan säilytettävän varallisuuden määrä 31.12.2012

valtakirjan perusteella hoidetun vakuutusvarallisuuden tapahtumatiedot (maksut ja nostot) 1.1.2009 — 31.12.2012

vakuutuksen ehdot

C:n vakuutuksiin liittyvät lunastukset ajalta 1.1.2009 — 31.12.2012 (kaikki lunastukset tuolta aikaväliltä).

päivämäärä

maksun suorittajan (tilinhaltijan) asiakastunnus ja nimi sekä tilinumero

maksun määrä euroissa ja muussa valuutassa, jos maksu ei ole euromääräinen ja valuuttatunnus

kohdemaan tunnus ja kohdemaan nimi

saajan tiedot (asiakastunnus, tilinumero, nimi ja osoite).

päivämäärä ja valuutta

maksun määrä euroissa ja valuutassa, jos maksu ei ole euromääräinen ja valuuttatunnus

maksun lähtömaan tunnus ja maan nimi

tilinumero, jolle maksu suoritetaan Suomessa

maksun saajan (tilinhaltijan) asiakastunnus ja nimi sekä tilinumero, jonne maksu saapui.

samat tiedot kuin yläpuolella, ilman euromääräistä rajaa

maksuliikenteen jakautuminen valtioiden välillä (valuuttamääräinen ja kappalemääräinen).

tilisiirto (otto tai pano), jos tapahtuma on 25 000 euroa tai yli

päivämäärä, tapahtumatyyppi (otto/pano), määrä

saajan tiedot (asiakastunnus, tilinumero, nimi ja osoite, mikäli tiedossa).

omistuksen siirto (säilytykseen tai säilytyksestä pois) mikäli peruste on muu kuin kauppa (osto, myynti) tai omistuksen kohteessa oleva tapahtuma (split, anti, osinko tms.)

tapahtumatyyppi

kohde, määrä ja arvo siirtohetkellä

suorittajan (tilinhaltijan) asiakastunnus ja nimi sekä tilinumero

A Oyj

Helsingin hallinto-oikeus

Korkein hallinto-oikeus

1. Ennakkoratkaisun pyytäminen Euroopan unionin tuomioistuimelta

2. Tutkimatta jättäminen ja asian käsittelyn rajaaminen

3. Tutkitulta osin — työmäärän ja kustannusten kohtuullisuus

Asian ovat ratkaisseet hallinto-oikeuden jäsenet Mika Hämäläinen, Sinikka Välitalo ja Mikko Nieminen, joka on myös esitellyt asian.

Veronsaajien oikeudenvalvontayksikkö

Pankki

Apulaistietosuojavaltuutettu

A Oyj:lle

3.1. Kysymyksenasettelu

3.2. Sovellettavat oikeusohjeet

Verotusmenettelystä annetun lain

tietosuoja-asetus

’käsittelyllä’ toimintoa tai toimintoja, joita kohdistetaan henkilötietoihin tai henkilötietoja sisältäviin tietojoukkoihin joko automaattista tietojenkäsittelyä käyttäen tai manuaalisesti, kuten tietojen keräämistä, tallentamista, järjestämistä, jäsentämistä, säilyttämistä, muokkaamista tai muuttamista, hakua, kyselyä, käyttöä, tietojen luovuttamista siirtämällä, levittämällä tai asettamalla ne muutoin saataville, tietojen yhteensovittamista tai yhdistämistä, rajoittamista, poistamista tai tuhoamista (- -).

käsittely on tarpeen yleistä etua koskevan tehtävän suorittamiseksi tai rekisterinpitäjälle kuuluvan julkisen vallan käyttämiseksi

unionin oikeudessa; tai

rekisterinpitäjään sovellettavassa jäsenvaltion lainsäädännössä.

Tietosuojalain

3.3. Oikeudellinen arviointi ja johtopäätökset

1. Menettely hallinto-oikeudessa

2. Ennakkoratkaisun pyytäminen unionin tuomioistuimelta

3. Pääasia