KHO:2025:51 – Tietosuoja

Enligt EU-domstolens dom i ifrågavarande ärende utgör information om läsningar av en persons personuppgifter, vilken avser datum, information som denna person har rätt att erhålla från den personuppgiftsansvarige enligt artikel 15.1 i den allmänna dataskyddsförordningen. Bestämmelsen syftar till att säkerställa insyn i hur personuppgifterna behandlas med avseende på den registrerade. I avsaknad av sådan insyn skulle den registrerade inte kunna bedöma huruvida behandlingen av hans eller hennes uppgifter är laglig eller utöva de rättigheter som föreskrivs i förordningen.

Högsta förvaltningsdomstolen ansåg på de grunder som närmare framgår av beslutet att man inte av EU-domstolens dom kan dra den slutsatsen att en person med stöd av artikel 15 i den allmänna dataskyddsförordningen skulle ha rätt till information om behandlingen av sina personuppgifter uttryckligen enligt klockslag trots att klockslagen framgår ur loggfilerna.

Med beaktande av den utredning som banken redan hade gett personen om behandlingen av hens personuppgifter, ansåg högsta förvaltningsdomstolen att personen kan bedöma huruvida behandlingen av hens uppgifter var laglig och utnyttja sina rättigheter enligt den allmänna dataskyddsförordningen till fullo, eftersom hen förutom den information som hen redan hade fått, får den information som ingår i loggfilerna om de datum då läsningar av hans kunduppgifter har gjorts i banken.

EU-domstolens dom i målet C-579/21, Pankki S (ECLI:EU:C:2023:501)

Europaparlamentets och rådets förordning (EU) 2016/679 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning) art. 12.1 och art. 15.1

Ärendet har avgjorts av justitieråden Outi Suviranta, Petri Helander, Taina Pyysaari, Toni Kaarresalo och Robert Utter. Föredragande Mikko Rautamaa.

Asiassa oli kysymys siitä, oliko henkilöllä yleisen tietosuoja-asetuksen perusteella oikeus saada tieto hänen asiakastietoihinsa pankissa tehtyjen kyselyjen ajankohdista kellonaikojen tarkkuudella. Kyselyjen ajankohdat ilmenivät pankin käyttäjälokitiedoista sekä päivämäärinä että tarkkoina kellonaikoina.

Unionin tuomioistuimen kysymyksessä olevassa asiassa antaman tuomion mukaan tiedot henkilön henkilötietoihin tehtyihin kyselyihin liittyvien kyselytoimien ajankohdista ovat tietoja, jotka kyseisellä henkilöllä on yleisen tietosuoja-asetuksen 15 artiklan 1 kohdan perusteella oikeus saada rekisterinpitäjältä. Säännöksellä pyritään osaltaan takaamaan henkilötietojen käsittelyä koskevien menettelytapojen läpinäkyvyys rekisteröityyn nähden, mitä ilman hän ei kykenisi arvioimaan tietojensa käsittelyn lainmukaisuutta ja käyttämään asetuksessa säädettyjä oikeuksiaan.

Korkein hallinto-oikeus katsoi ratkaisustaan tarkemmin ilmenevillä perusteilla, ettei unionin tuomioistuimen tuomiosta voitu tehdä sitä johtopäätöstä, että henkilöllä olisi yleisen tietosuoja-asetuksen 15 artiklan perusteella oikeus saada tieto hänen henkilötietojensa käsittelyn ajankohdista juuri kellonaikojen tarkkuudella, vaikka kellonajat ilmenevätkin lokitiedoista.

Kun otettiin huomioon se selvitys, jonka pankki oli henkilölle hänen henkilötietojensa käsittelystä jo antanut, korkein hallinto-oikeus katsoi, että henkilö voi arvioida tietojensa käsittelyn lainmukaisuutta ja käyttää yleiseen tietosuoja-asetukseen perustuvia oikeuksiaan täysimääräisesti, kun hän saa jo saamiensa tietojen lisäksi lokitietoihin sisältyvät tiedot päivämääristä, jolloin hänen asiakastietoihinsa oli pankissa tehty kyselyjä.

Unionin tuomioistuimen tuomio asiassa C-579/21, Pankki S (ECLI:EU:C:2023:501)

Euroopan parlamentin ja neuvoston asetus (EU) 2016/679 luonnollisten henkilöiden suojelusta henkilötietojen käsittelyssä sekä näiden tietojen vapaasta liikkuvuudesta ja direktiivin 95/46/EY kumoamisesta (yleinen tietosuoja-asetus) 12 artikla 1 kohta ja 15 artikla 1 kohta

Päätös, jota muutoksenhaut koskevat

Itä-Suomen hallinto-oikeus 22.12.2023 nro 2891/2023

Korkeimman hallinto-oikeuden ratkaisu

1. A:n valituslupahakemus hylätään. Korkein hallinto-oikeus ei siten anna ratkaisua hänen valitukseensa.

2. Pankki S:n valituslupahakemus hylätään siltä osin kuin asiassa on kysymys henkilötietojen käsittelyn tarkoituksista. Korkein hallinto-oikeus ei siten anna ratkaisua pankki S:n valitukseen tältä osin.

3. Korkein hallinto-oikeus myöntää pankki S:lle valitusluvan siltä osin kuin asiassa on kysymys henkilötietojen käsittelytoimien ajankohdista ja tutkii asian tältä osin.

Itä-Suomen hallinto-oikeuden päätös kumotaan käsittelytoimien ajankohtia koskevan ratkaisun osalta ja asia palautetaan tältä osin apulaistietosuojavaltuutetulle uudelleen käsiteltäväksi. Apulaistietosuojavaltuutetun on annettava pankki S:lle yleisen tietosuoja-asetuksen 58 artiklan 2 kohdan c alakohdan mukainen määräys siitä, että A:lle on annettava tieto hänen henkilötietojensa käsittelyn ajankohdista päivämäärien tarkkuudella.

Asian tausta

(1)

on päätöksellään 4.8.2020 ratkaissut A:n toimenpidepyynnön saada pääsy pankki S:n tietoihin, joista ilmenevät ajalla 1.11. — 31.12.2013 A:n asiakastietoja pankissa käsitelleiden henkilöiden henkilöllisyys, käsittelyn tarkoitus ja tietojen tarkastelun ajankohdat. Apulaistietosuojavaltuutettu on päätöksenään todennut, että määräystä oikeudesta saada pääsy tietoihin ei anneta.

(2) Päätöksen perusteluissa on todettu, että toimenpidepyyntö vastaa tosiasiallisesti pyyntöä saada pääsy käyttäjälokitietoihin. Perustelujen mukaan yleistä tietosuoja-asetusta sovellettaessa lokitietojen on katsottava olevan nimenomaan niitä työntekijöitä koskevia tietoja, jotka ovat asiakastietoja käsitelleet. Näin ollen kysymyksessä olevat lokitiedot eivät ole sellaisia A:ta koskevia tietoja, joihin hänellä olisi yleisen tietosuoja-asetuksen 15 artiklassa säädetty oikeus saada pääsy.

(3)

valitettua apulaistietosuojavaltuutetun päätöksestä

hallinto-oikeus on välipäätöksellään 21.9.2021 päättänyt pyytää unionin tuomioistuimelta ennakkoratkaisua muun muassa seuraaviin kysymyksiin:

1. Onko yleisen tietosuoja-asetuksen 15 artiklan 1 kohdan mukaista rekisteröidyn oikeutta päästä tietoihin tulkittava asetuksen 4 artiklan 1 alakohdan mukaisen henkilötietojen [käsitteen] kanssa yhdessä siten, että rekisterinpitäjän keräämät tiedot, joista ilmenee, ketkä rekisteröidyn henkilötietoja ovat käsitelleet, milloin ja missä tarkoituksessa, eivät ole sellaisia tietoja, joihin rekisteröidyllä olisi oikeus saada pääsy, erityisesti siksi, että kyseessä on rekisterinpitäjän työntekijöitä koskevat tiedot?

2. Mikäli vastaus kysymykseen 1 on kyllä, eikä rekisteröidyllä ole yleisen tietosuoja-asetuksen 15 artiklan 1 kohdan nojalla oikeutta tutustua kysymyksessä mainittuihin tietoihin, koska niiden ei ole katsottava olevan yleisen tietosuoja-asetuksen 4 artiklan 1 alakohdan mukaisia rekisteröidyn henkilötietoja, tulee asiassa vielä kysymykseen tiedot, jotka rekisteröidyllä on oikeus saada 15 artiklan 1 kohdan [a — h alakohdan] nojalla: a) Miten 15 artiklan 1 kohdan a alakohdan mukaista käsittelyn tarkoitusta on rekisteröidyn tarkastusoikeuden laajuuden kannalta tulkittava eli voiko käsittelyn tarkoitus perustaa tarkastusoikeuden rekisterinpitäjän keräämiin käyttäjälokitietoihin, kuten rekisteröidyn henkilötietoja käsitelleiden henkilötietoihin, milloin henkilötietoja on käsitelty sekä missä tarkoituksessa?

(4)

on hallinto-oikeuden ennakkoratkaisupyynnön johdosta 22.6.2023 antamassaan tuomiossa asiassa C-579/21 katsonut muun ohella, että yleisen tietosuoja-asetuksen 15 artiklan 1 kohtaa on tulkittava siten, että henkilön henkilötietoihin tehtyihin kyselyihin liittyvät tiedot kyselytoimien ajankohdista ja tarkoituksista ovat tietoja, jotka kyseisellä henkilöllä on oikeus saada rekisterinpitäjältä tämän säännöksen nojalla. Mainitussa säännöksessä ei sen sijaan vahvisteta tällaista oikeutta tietoihin, jotka koskevat rekisterinpitäjän niiden työntekijöiden henkilöllisyyttä, jotka ovat suorittaneet kyselytoimet rekisterinpitäjän alaisuudessa ja sen ohjeiden mukaisesti, paitsi jos nämä tiedot ovat välttämättömiä, jotta rekisteröity voi tosiasiallisesti käyttää kyseiseen asetukseen perustuvia oikeuksiaan, ja edellyttäen, että näiden työntekijöiden oikeudet ja vapaudet otetaan huomioon (ratkaisulausuman 2 kohta ja perustelujen 83 kohta).

(5)

on päätöksellään 22.12.2023 kumonnut apulaistietosuojavaltuutetun päätöksen ja palauttanut asian valtuutetulle uudelleen käsiteltäväksi. Apulaistietosuojavaltuutetun on annettava päätöksen johtopäätöksistä ilmenevä määräys sen jälkeen, kun hallinto-oikeuden päätös on saanut lainvoiman.

(6) Hallinto-oikeuden päätöksen perustelujen johtopäätöksissä on muun ohella todettu, että asia on palautettava apulaistietosuojavaltuutetulle yleisen tietosuoja-asetuksen 58 artiklan 2 kohdan c alakohdan mukaisen määräyksen antamiseksi pankki S:lle. A:lla on oikeus saada tieto valittajan henkilötietojen käsittelyn ajankohdista sillä tarkkuudella kuin ne ilmenevät pankki S:n käyttäjälokitiedoista. A:lla ei ole sen sijaan oikeutta saada tietoa käsittelytoimia suorittaneiden pankin toimihenkilöiden henkilöllisyydestä.

(7) Päätöksen perusteluissa on muun ohella myös katsottu, että A:n yleisen tietosuoja-asetuksen 15 artiklan 1 kohdan a alakohdan mukainen oikeus saada tieto käsittelyn tarkoituksista ei ole jäänyt toteutumatta.

Vaatimukset ja selvitykset korkeimmassa hallinto-oikeudessa

(8)

on katsottava pyytäneen lupaa valittaa hallinto-oikeuden päätöksestä siltä osin kuin se koskee henkilötietojen käsittelijöiden henkilöllisyyksiä ja käsittelyn tarkoituksia.

(9)

$f3

(10)

on pankki S:n valituslupahakemuksen ja valituksen johdosta antamassaan lausumassa esittänyt, että pankki S:lle myönnetään valituslupa siltä osin kuin hallinto-oikeuden päätös koskee henkilötietojen käsittelytoimien ajankohtia. Apulaistietosuojavaltuutettu on katsonut, että A:n oikeuksien ja vapauksien toteutumiseksi riittää, että pankki S toimittaa hänelle päivämäärät, jolloin hänen henkilötietojaan on pankissa käsitelty hänen pyytämällään aikavälillä.

(11)

on pankki S:n valituslupahakemuksen ja valituksen ja apulaistietosuojavaltuutetun lausuman johdosta antamassaan lausumassa todennut muun ohella, että pankki S:n on toimitettava pankin käyttäjälokista ilmenevät tiedot A:n henkilötietojen käsittelyn ajankohdista. Unionin tuomioistuimen asiassa C-579/21 antaman tuomion mukaan lokitiedot tulee antaa sellaisenaan, jotta niistä käy ilmi kyselyjen toistumistiheys ja intensiteetti.

Korkeimman hallinto-oikeuden ratkaisun perustelut

1. A:n valituslupahakemuksen hylkääminen

(12) Oikeudenkäynnistä hallintoasioissa annetun lain 111 §:n 1 momentin mukaan valituslupa on myönnettävä, jos:

1) lain soveltamisen kannalta muissa samanlaisissa tapauksissa tai oikeuskäytännön yhtenäisyyden vuoksi on tärkeätä saattaa asia korkeimman hallinto-oikeuden ratkaistavaksi;

2) asian saattamiseen korkeimman hallinto-oikeuden ratkaistavaksi on erityistä aihetta asiassa tapahtuneen ilmeisen virheen vuoksi; tai

3) valitusluvan myöntämiseen on muu painava syy.

(13) Sen perusteella, mitä A on esittänyt ja mitä asiakirjoista muutoin ilmenee, asian saattamiseen korkeimman hallinto-oikeuden ratkaistavaksi ei ole valitusluvan myöntämisen perustetta.

2. Pankki S:n valituslupahakemuksen osittainen hylkääminen

(14) Sen perusteella, mitä pankki S on esittänyt ja mitä asiakirjoista muutoin ilmenee, asian saattamiseen korkeimman hallinto-oikeuden ratkaistavaksi ei ole oikeudenkäynnistä hallintoasioissa annetun lain 111 §:n 1 momentissa tarkoitettua valitusluvan myöntämisen perustetta siltä osin kuin asiassa on kysymys henkilötietojen käsittelyn tarkoituksista.

3. Hallinto-oikeuden päätöksen osittainen kumoaminen ja asian palauttaminen apulaistietosuojavaltuutetulle uudelleen käsiteltäväksi

Kysymyksenasettelu

(15) Asiassa on kysymys siitä, onko A:lla oikeus saada tieto hänen asiakastietoihinsa pankki S:ssä tehtyjen kyselyjen ajankohdista kellonaikojen tarkkuudella. Tämä kysymys tulee arvioitavaksi yleisessä tietosuoja-asetuksessa säädetyn ja unionin tuomioistuimen asiassa C‑579/21 antaman tuomion perusteella.

(16) Hallinto-oikeus on katsonut, että A:lla on oikeus saada tieto henkilötietojensa käsittelyn ajankohdista sillä tarkkuudella kuin ne ilmenevät pankki S:n käyttäjälokitiedoista eli kellonaikojen tarkkuudella. Rekisterinpitäjä pankki S on esittänyt riittävää olevan, että A saa tiedot henkilötietojensa käsittelyn päivämääristä.

(17) Asiassa ei ole arvioitavana, onko A:n henkilötietojen käsittely pankki S:ssä ollut lainmukaista.

Oikeusohjeet

(18) Yleisen tietosuoja-asetuksen (Euroopan parlamentin ja neuvoston asetus (EU) 2016/679 luonnollisten henkilöiden suojelusta henkilötietojen käsittelyssä sekä näiden tietojen vapaasta liikkuvuudesta ja direktiivin 95/46/EY kumoamisesta) 12 artiklan 1 kohdan mukaan rekisterinpitäjän on toteutettava asianmukaiset toimenpiteet toimittaakseen rekisteröidylle 13 ja 14 artiklan mukaiset tiedot ja 15 — 22 artiklan ja 34 artiklan mukaiset kaikki käsittelyä koskevat tiedot tiiviisti esitetyssä, läpinäkyvässä, helposti ymmärrettävässä ja saatavilla olevassa muodossa selkeällä ja yksinkertaisella kielellä varsinkin silloin, kun tiedot on tarkoitettu erityisesti lapselle. Tiedot on toimitettava kirjallisesti tai muulla tavoin ja tapauksen mukaan sähköisessä muodossa. (—).

(19) Yleisen tietosuoja-asetuksen 15 artiklan 1 kohdan mukaan rekisteröidyllä on oikeus saada rekisterinpitäjältä vahvistus siitä, käsitelläänkö häntä koskevia henkilötietoja, ja jos näitä henkilötietoja käsitellään, oikeus saada tutustua henkilötietoihin sekä saada seuraavat tiedot: a) käsittelyn tarkoitukset; (—).

$f9

Oikeudellinen arviointi ja johtopäätös

(21) Unionin tuomioistuimen asiassa C-579/21 antaman tuomion mukaan yleisen tietosuoja-asetuksen 15 artiklan 1 kohtaa on tulkittava siten, että henkilön henkilötietoihin tehtyihin kyselyihin liittyvät tiedot kyselytoimien ajankohdista ovat tietoja, jotka kyseisellä henkilöllä on oikeus saada rekisterinpitäjältä mainitun säännöksen nojalla (83 kohta).

(22) Tuomiossa on viitattu siihen, että yleisen tietosuoja-asetuksen 15 artiklan 1 kohta on yksi niistä säännöksistä, joilla pyritään takaamaan henkilötietojen käsittelyä koskevien menettelytapojen läpinäkyvyys rekisteröityyn nähden, mitä ilman hän ei kykenisi arvioimaan tietojensa käsittelyn lainmukaisuutta ja käyttämään muun muassa asetuksen 16 — 18, 21, 79 ja 82 artiklassa säädettyjä oikeuksia (59 kohta). Korkein hallinto-oikeus toteaa, että kysymystä siitä, millä tarkkuudella henkilöllä on oikeus saada tiedot hänen henkilötietojaan koskevien kyselyjen ajankohdista, on arvioitava ottaen huomioon yleisen tietosuoja-asetuksen 15 artiklan 1 kohdan edellä mainittu tarkoitus.

(23) A:n henkilötietoja koskevien pankki S:ssä tehtyjen kyselyjen ajankohdat ilmenevät pankin käyttäjälokitiedoista. Unionin tuomioistuimen tuomiossa on todettu, että lokitiedostot, jotka sisältävät A:n pyytämät tiedot, ovat yleisen tietosuoja-asetuksen 30 artiklassa tarkoitettuja selosteita käsittelytoimista. Niiden on katsottava kuuluvan asetuksen johdanto-osan 74 perustelukappaleessa mainittuihin toimenpiteisiin, joita rekisterinpitäjä toteuttaa osoittaakseen, että käsittelytoimet ovat asetuksen mukaisia. Asetuksen 30 artiklan 4 kohdassa täsmennetään erityisesti, että ne on pyynnöstä saatettava valvontaviranomaisen saataville (67 kohta).

$fa

$fb

(26) A:n asiakastietoihin pankki S:ssä tehtyjen kyselyjen ajankohdat ilmenevät pankin käyttäjälokitiedoista sekä päivämäärinä että tarkkoina kellonaikoina.

(27) Unionin tuomioistuimen tuomiossa asiassa C-579/21 on todettu ennakkoratkaisupyynnöstä ilmenevän, että A oli pyytänyt pankkia toimittamaan tiedot hänen henkilötietojaan 1.11.2013 — 31.12.2013 koskevien kyselyjen päivämääristä (60 kohta). Tähän nähden ja tuomion perusteluja kokonaisuutena arvioiden korkein hallinto-oikeus katsoo, ettei tuomiosta voida tehdä sitä johtopäätöstä, että A:lla olisi yleisen tietosuoja-asetuksen 15 artiklan perusteella oikeus saada tieto hänen henkilötietojensa käsittelyn ajankohdista juuri kellonaikojen tarkkuudella, vaikka kellonajat ilmenevätkin lokitiedoista.

(28) Kun otetaan huomioon se selvitys, jonka pankki S on A:lle hänen henkilötietojensa käsittelystä jo antanut, korkein hallinto-oikeus katsoo, että A voi arvioida tietojensa käsittelyn lainmukaisuutta ja käyttää yleiseen tietosuoja-asetukseen perustuvia oikeuksiaan täysimääräisesti, kun hän saa jo saamiensa tietojen lisäksi lokitietoihin sisältyvät tiedot päivämääristä, jolloin hänen asiakastietoihinsa on pankki S:ssä tehty kyselyjä.

(29) Korkein hallinto-oikeus toteaa myös, että jos rekisteröity katsoo, että häntä koskevien henkilötietojen käsittelyssä rikotaan yleistä tietosuoja-asetusta, rekisteröidyllä on sanotun asetuksen 77 artiklan 1 kohdan ja tietosuojalain 21 §:n nojalla oikeus saattaa asia tietosuojavaltuutetun käsiteltäväksi. Tietosuojavaltuutetulla on sanotun asetuksen 58 artiklan 1 kohdan a alakohdan nojalla toimivalta määrätä rekisterinpitäjä antamaan tietosuojavaltuutetulle kaikki tiedot, jotka valtuutettu tarvitsee asian tutkimiseksi.

(30) Edellä lausutun vuoksi hallinto-oikeuden päätös on kumottava käsittelytoimien ajankohtia koskevan ratkaisun osalta ja asia on tältä osin palautettava apulaistietosuojavaltuutetulle uudelleen käsiteltäväksi. Apulaistietosuojavaltuutetun on annettava pankki S:lle yleisen tietosuoja-asetuksen 58 artiklan 2 kohdan c alakohdan mukainen määräys siitä, että A:lle on annettava tieto hänen henkilötietojensa käsittelyn ajankohdista päivämäärien tarkkuudella.

Asian ovat ratkaisseet oikeusneuvokset Outi Suviranta, Petri Helander, Taina Pyysaari, Toni Kaarresalo ja Robert Utter. Asian esittelijä Mikko Rautamaa.

Apulaistietosuojavaltuutettu

A:n

Itä-Suomen hallinto-oikeudelle

Unionin tuomioistuin

Itä-Suomen hallinto-oikeus

Asian ovat ratkaisseet hallinto-oikeuden jäsenet Timo Tervonen, Heli Mäki- Rautila ja Olli Rautsi (osaksi eri mieltä).

Pankki S

A