KHO:2020:72

Koska rekisterinpitäjänä oli viranomainen, kysymys oli tällöin siitä, voitiinko sen yleisen tietosuoja-asetuksen 15 artiklaa soveltaen tekemästä tiedonsaantioikeuden epäämistä koskevasta päätöksestä valittaa yleisen tietosuoja-asetuksen 79 artiklan 1 kohta ja hallintolainkäyttölain 5 §:n 1 momentti ja 7 §:n 1 momentti huomioon ottaen suoraan hallinto-oikeudelle siitä huolimatta, että rekisteröidyllä oli yleisen tietosuoja-asetuksen 77 artiklan 1 kohdan ja henkilötietolain 28 §:n 2 momentin perusteella joka tapauksessa oikeus saattaa asia tietosuojavaltuutetun käsiteltäväksi.

Yleisen tietosuoja-asetuksen 79 artiklan 1 kohdassa säädetään rekisteröidyn oikeudesta tehokkaisiin oikeussuojakeinoihin. Sekä unionin oikeuden yhtenäinen soveltaminen että yhdenvertaisuusperiaate edellyttävät, että unionin oikeuden sellaisen säännöksen tai määräyksen sanamuotoa, joka ei sisällä nimenomaista viittausta jäsenvaltioiden oikeuteen säännöksen tai määräyksen sisällön ja ulottuvuuden määrittämiseksi, on tavallisesti tulkittava koko unionissa itsenäisesti ja yhtenäisesti. Ottaen huomioon sanotun asetuksenkohdan sanamuodon ja sillä tavoitellut päämäärät sekä asiayhteyden ja unionin oikeuden säännökset ja määräykset kokonaisuudessaan korkein hallinto-oikeus katsoi, että siinä tarkoitetaan oikeutta tehokkaisiin oikeussuojakeinoihin tuomioistuimessa.

Rekisteröidyllä oli näin ollen oikeus myös valittaa viranomaisen asemassa olevan rekisterinpitäjän yleisen tietosuoja-asetuksen 15 artiklaa soveltaen tekemästä tiedonsaantioikeuden epäämistä koskevasta päätöksestä suoraan hallinto-oikeudelle. Hallinto-oikeuden olisi siten tullut käsitellä valitus Verohallinnon päätöksestä paitsi asiakirjajulkisuusasiana, myös rekisteröidyn tiedonsaantioikeutta koskevana tietosuoja-asiana soveltaen yleisen tietosuoja-asetuksen säännöksiä. Hallinto-oikeuden päätös oli kumottava ja asia oli palautettava sille uudelleen käsiteltäväksi myös tietosuoja-asiana.

Vrt. KHO 2007:20

Euroopan parlamentin ja neuvoston asetus (EU) 2016/679 luonnollisten henkilöiden suojelusta henkilötietojen käsittelyssä sekä näiden tietojen vapaasta liikkuvuudesta ja direktiivin 95/46/EY kumoamisesta (yleinen tietosuoja-asetus) 15 artikla 1 kohta, 77 artikla 1 kohta, 78 artikla 1 kohta ja 79 artikla 1 kohta

Henkilötietolaki 26 § 1 momentti, 28 § 2 momentti, 40 § 2 momentti ja 45 § 1 momentti

Hallintolainkäyttölaki 5 § 1 momentti ja 7 § 1 momentti

Unionin tuomioistuimen tuomio 1.10.2019, Planet49 (C‑673/17, EU:C:2019:801)

Päätös, jota valitus koskee

Helsingin hallinto-oikeus 21.5.2019 nro 19/0345/5

Asian aikaisempi käsittely

A on 23.7.2018 päivätyllä kirjelmällään pyytänyt Verohallinnolta kirjelmästä lähemmin ilmenevää selvitystä henkilöään ja Bonlex Ltd:tä koskevien lokitietojen käsittelystä. Pyynnön perusteena on viitattu Suomen perustuslakiin, Euroopan neuvoston ihmisoikeussopimukseen, kansalaisoikeuksia ja poliittisia oikeuksia koskevaan kansainväliseen yleissopimukseen sekä Euroopan parlamentin ja neuvoston asetukseen (EU) 2016/679 luonnollisten henkilöiden suojelusta henkilötietojen käsittelyssä sekä näiden tietojen vapaasta liikkuvuudesta ja direktiivin 95/46/EY kumoamisesta (yleinen tietosuoja-asetus).

Verohallinto on päätöksellään 31.7.2018 päättänyt olla luovuttamatta pyydettyjä tietoja lokitietojen käsittelystä. Päätöksen perusteluina on lausuttu muun ohella seuraavaa:

Henkilötietojen suojaa koskevat säännökset

EU:n yleisen tietosuoja-asetuksen (EU) 2016/679 15 artiklassa säädetään rekisteröidyn oikeudesta saada pääsy omiin tietoihinsa. Artiklan 1 kohdan mukaan rekisteröidyllä on oikeus saada rekisterinpitäjältä vahvistus siitä, että häntä koskevia henkilötietoja käsitellään tai että niitä ei käsitellä, ja jos näitä henkilötietoja käsitellään, oikeus saada pääsy henkilötietoihin sekä muut kohdassa mainitut tiedot. Saman artiklan 3 kohdan mukaan rekisterinpitäjän on toimitettava jäljennös käsiteltävistä henkilötiedoista.

Tietosuoja-asetuksessa tarkoitettu rekisteröidyn oikeus saada pääsy tietoihinsa koskee ainoastaan rekisteröidyn omia henkilötietoja. Verotustietojen käsittelystä tallennetut lokitiedot koskevat tietojärjestelmien käyttäjiä. Lokitiedot eivät siten ole verotustietojen käsittelyn kohteena olevan henkilön omia henkilötietoja.

Verohallinto katsoo, ettei A:lla ole oikeutta saada verotustietojensa käsittelystä tallennettuja lokitietoja tietosuoja-asetuksen 15 artiklassa säädetyn rekisteröidyn oikeuden perusteella.

A:lla on oikeus saattaa henkilötietojensa käsittelyä koskeva asia kansallisen tietosuojavalvontaviranomaisen käsiteltäväksi, jos hän katsoo, että häntä koskevien henkilötietojen käsittelyssä rikotaan sitä koskevaa lainsäädäntöä. Suomessa valvontaviranomaisena toimii tietosuojavaltuutettu.

Viranomaisten toiminnan julkisuutta koskevat säännökset

Verotustietojen käsittelyä koskevat lokitiedot ovat salassa pidettäviä tietoja viranomaisten toiminnan julkisuudesta annetun lain (julkisuuslaki) 24 §:n 1 momentin 7 kohdan mukaisesti. Julkisuuslain 11 §:n mukaisesti asianosaisella on oikeus saada asiaa käsittelevältä tai käsitelleeltä viranomaiselta tieto muunkin kuin julkisen asiakirjan sisällöstä, joka voi tai on voinut vaikuttaa hänen asiansa käsittelyyn.

Asiakkaiden verotustietojen käsittelyn valvomiseksi tallennettujen lokitietojen kohdalla asianosaisasema voi muodostua silloin, kun lokitietojen perusteella on mahdollista epäillä, että A:n verotustietoja on käsitelty niiden käyttötarkoituksen vastaisesti ja tämä on voinut vaikuttaa A:n asian käsittelyyn Verohallinnossa (KHO 2014:69). Mahdollisen väärinkäytöksen selvittämiseksi A:n tulee yksilöidä epäilemänsä väärinkäytösepäily.

Verohallinto katsoo, ettei A:lla ole oikeutta saada verotustietojensa käsittelystä tallennettuja lokitietoja, sillä asiassa ei ole näytetty sellaisia perusteita, että hän olisi lokitietojen osalta asianosaisen asemassa julkisuuslain 11 §:ssä tarkoitetulla tavalla.

Yrityksen Bonlex Ltd tietoja ei löydy Yritystietojärjestelmästä (YTJ) eikä Verohallinnon järjestelmistä.

Verohallinnon päätöksessä on sovellettuina lainkohtina mainittu yleisen tietosuoja-asetuksen 2–6, 12, 15, 25, 32 ja 77 artikla, henkilötietolain 2, 3, 26, 28, 38 ja 40 §, verotustietojen julkisuudesta ja salassapidosta annetun lain 1, 2 ja 4 § sekä viranomaisten toiminnan julkisuudesta annetun lain 1–3, 10–14, 17, 24 ja 33 §.

Verohallinnon päätökseen liitetyn valitusosoituksen mukaan päätökseen haetaan muutosta Helsingin hallinto-oikeudelta.

Hallinto-oikeuden ratkaisu

Helsingin hallinto-oikeus on valituksenalaisella päätöksellään hylännyt A:n vaatimuksen ennakkoratkaisun pyytämisestä Euroopan unionin tuomioistuimelta sekä vaatimuksen suullisen käsittelyn toimittamisesta. Hallinto-oikeus on hylännyt A:n valituksen Verohallinnon päätöksestä sekä oikeudenkäyntikulujen korvaamista koskevan vaatimuksen.

Hallinto-oikeus on perustellut päätöstään seuraavasti:

Ennakkoratkaisupyyntö

Asiassa ei ole tullut esille sellaista kysymystä, jonka johdosta ennakkoratkaisupyynnön esittäminen Euroopan unionin tuomioistuimelle olisi tarpeen.

Suullinen käsittely

Hallintolainkäyttölain 38 §:n 1 momentin mukaan hallinto-oikeuden on toimitettava suullinen käsittely, jos yksityinen asianosainen pyytää sitä. Asianosaisen pyytämä suullinen käsittely voidaan jättää toimittamatta, jos vaatimus jätetään tutkimatta tai hylätään heti tai jos suullinen käsittely on asian laadun vuoksi tai muusta syystä ilmeisen tarpeeton.

Sikäli kuin suullisen käsittelyn toimittamista on tarkoitettu valituksessa todistelusta esitetyllä vaatia, hallinto-oikeus toteaa, että asiassa on hallinto-oikeudessa kyse siitä, onko Verohallinto voinut olla luovuttamatta A:lle tämän pyytämiä häntä itseään ja Bonlex Ltd:tä koskevia lokitietoja. Kun otetaan huomioon hallinto-oikeuden käytettävissä asiaa ratkaistaessa ollut asiakirja-aineisto sekä pääasian ratkaisun jäljempänä olevat perusteet, suullisen käsittelyn toimittaminen A:n ja Verohallinnon entisten virkailijoiden kuulemiseksi on hallintolainkäyttölain 38 §:n 1 momentissa tarkoitetulla tavalla ilmeisen tarpeetonta.

Pääasiaratkaisu

Sovellettavat oikeusohjeet

Viranomaisten toiminnan julkisuudesta annetun lain (julkisuuslaki) 9 §:n 1 momentin mukaan jokaisella on oikeus saada tieto viranomaisen asiakirjasta, joka on julkinen.

Julkisuuslain 10 §:n mukaan salassa pidettävästä viranomaisen asiakirjasta tai sen sisällöstä saa antaa tiedon vain, jos niin erikseen tässä laissa säädetään. Kun vain osa asiakirjasta on salassa pidettävä, tieto on annettava asiakirjan julkisesta osasta, jos se on mahdollista niin, ettei salassa pidettävä osa tule tietoon.

Julkisuuslain 11 §:n 1 momentin mukaan hakijalla, valittajalla sekä muulla, jonka oikeutta, etua tai velvollisuutta asia koskee (asianosainen), on oikeus saada asiaa käsittelevältä tai käsitelleeltä viranomaiselta tieto muunkin kuin julkisen asiakirjan sisällöstä, joka voi tai on voinut vaikuttaa hänen asiansa käsittelyyn.

Julkisuuslain 12 §:n mukaan jokaisella on oikeus saada tieto hänestä itsestään viranomaisen asiakirjaan sisältyvistä tiedoista 11 §:n 2 ja 3 momentissa säädetyin rajoituksin, jollei laissa toisin säädetä.

Julkisuuslain 22 §:n 1 momentin mukaan viranomaisen asiakirja on pidettävä salassa, jos se tässä tai muussa laissa on säädetty salassa pidettäväksi tai jos viranomainen lain nojalla on määrännyt sen salassa pidettäväksi taikka jos se sisältää tietoja, joista on lailla säädetty vaitiolovelvollisuus.

Julkisuuslain 24 §:n 1 momentin 7 kohdan mukaan salassa pidettäviä viranomaisen asiakirjoja ovat, jollei erikseen toisin säädetä, henkilöiden, rakennusten, laitosten, rakennelmien sekä tieto- ja viestintäjärjestelmien turvajärjestelyjä koskevat ja niiden toteuttamiseen vaikuttavat asiakirjat, jollei ole ilmeistä, että tiedon antaminen niistä ei vaaranna turvajärjestelyjen tarkoituksen toteutumista.

Julkisuuslain esityöt

Julkisuuslakia koskevan hallituksen esityksen (HE 30/1998 vp) yksityiskohtaisissa perusteluissa todetaan 11 §:n kohdalla muun ohella seuraavaa: Asianosaisella on oikeus saada tieto salassa pidettävästä asiakirjasta sekä asiakirjasta, joka ei vielä ole julkinen, jos asiakirja voi tai on voinut vaikuttaa asian käsittelyyn.

Asiakirjalla, joka voi tai on voinut vaikuttaa asian käsittelyyn, tarkoitetaan asiakirjaa, joka kysymyksessä olevassa asiassa on viranomaiselle esitetty tai jonka viranomainen asiaa käsitellessään on itse hankkinut tai laatinut. Lisäedellytys on, että asiakirja tosiasiallisesti voi tai on voinut vaikuttaa asian käsittelyyn. Viranomaisen ratkaisun sisältöön asiakirjan ei välttämättä tarvitse olla vaikuttanut.

Julkisuuslakia koskevassa edellä mainitussa hallituksen esityksessä todetaan lain 24 §:n 1 momentin 7 kohtaa koskevissa yksityiskohtaisissa perusteluissa, että tietojärjestelmien turvajärjestelyihin kuuluvat paitsi fyysistä suojausta koskevat tiedot myös käytettävät suojaustekniikat, salasanat ja lokijärjestelmät, joiden avulla kirjataan järjestelmän käyttöä.

Asian oikeudellinen arviointi ja lopputulos

A on 23.7.2018 pyytänyt Verohallinnolta lokitietoja, jotka koskevat häntä itseään ja Bonlex Ltd:tä. Hän on muun muassa pyytänyt saada tietää, kuka on käyttänyt ja kenelle on luovutettu häntä koskevia henkilötietoja Verohallinnon tietojärjestelmistä, koska hän epäilee tietojensa luvatonta käsittelyä Verohallinnossa.

Hallinto-oikeus toteaa, että pyydetyt tiedot ovat osa Verohallinnon käyttölokijärjestelmää. Verotustietojen käsittelystä tallennetut lokitiedot eivät koske A:ta itseään tai Bonlex Ltd:tä, vaan ne koskevat Verohallinnon tietojärjestelmien käyttäjiä. Lokitiedot eivät siten ole verotustietojen käsittelyn kohteena olevan henkilön omia henkilötietoja. Käyttölokijärjestelmän tiedot ovat näin ollen salassa pidettäviä julkisuuslain 24 §:n 1 momentin 7 kohdan perusteella.

Julkisuuslain 11 §:n 1 momenttiin perustuva tiedonsaantioikeus voi lainkohdan sanamuoto ja esityöt huomioon ottaen tulla kysymykseen vain tilanteessa, jossa kyseisessä viranomaisessa on tai on ollut vireillä asia, jossa päätetään asianosaisen oikeudesta, edusta tai velvollisuudesta. Mainitun lainkohdan sanamuodon perusteella tiedonsaantioikeuden edellytyksenä on lisäksi, että tieto tietojärjestelmän käyttämisestä voi tai on voinut vaikuttaa lokitiedon pyytäjää koskevan asian käsittelyyn. Säännös ei luo tiedonsaantioikeutta esimerkiksi siinä tilanteessa, jossa lokitietojen pyytäjä vasta epäilee, että häntä koskevien Verohallinnon tietojärjestelmiin sisältyvien tietojen käyttäminen ei ole ollut asianmukaista ja että asiasta on mahdollisesti tehty ilmoitus poliisille.

Saadun selvityksen mukaan A:lla ei ole ollut Verohallinnossa vireillä sellaista asiaa, jonka käsittelyyn pyydetyt tiedot ovat vaikuttaneet tai ovat voineet vaikuttaa. Edellä sanotun perustella A:lla ei ole julkisuuslain 11 §:n 1 momentin perusteella oikeutta saada pyydettyjä salassa pidettäviä tietoja. A ei ole esittänyt muutakaan lain mukaista perustetta lokitietojen saamiselle. Lisäksi Verohallinnon ilmoituksen mukaan Verohallinnon tietojärjestelmässä ei ole tietoja Bonlex Ltd:stä. Verohallinto on siten voinut hylätä tietopyynnön.

Oikeudenkäyntikulut

Oikeudenkäynti ei ole aiheutunut viranomaisen virheestä. Asiassa annettu ratkaisu huomioon ottaen ei ole kohtuutonta, että A joutuu pitämään oikeudenkäyntikulunsa vahinkonaan.

Hallinto-oikeuden päätöksessä on sovellettuina oikeusohjeina mainittu perusteluissa mainittujen lisäksi viranomaisten toiminnan julkisuudesta annetun lain 17 §.

Asian ovat ratkaisseet hallinto-oikeuden jäsenet Markku Setälä, Ilkka Hartikainen ja Sari Komonen, joka on myös esitellyt asian.

Käsittely korkeimmassa hallinto-oikeudessa

A on pyytänyt lupaa valittaa Helsingin hallinto-oikeuden päätöksestä.

A on valituksessaan vaatinut, että hallinto-oikeuden ja Verohallinnon päätökset kumotaan ja Verohallinto velvoitetaan luovuttamaan pyydetty lokitietoselvitys tai asia palautetaan Verohallinnolle uudelleen käsiteltäväksi tarpeellisin ohjeistuksin.

A on myös vaatinut, että asiassa pyydetään ennakkoratkaisu unionin tuomioistuimelta ja että korkein hallinto-oikeus toimittaa asiassa suullisen käsittelyn.

A on lisäksi vaatinut, että Verohallinto velvoitetaan korvaamaan hänen kulunsa Verohallinnossa, hallinto-oikeudessa ja korkeimmassa hallinto-oikeudessa laillisine korkoineen.

Vaatimusten perusteluina on uudistettu aikaisemmin esitetty ja lausuttu lisäksi muun ohella, että yleisen tietosuoja-asetuksen 15 artikla on sivuutettu hallinto-oikeuden päätöksessä kokonaan. A:lla on sanotun artiklan, Euroopan unionin perusoikeuskirjan ja Euroopan unionin toiminnasta tehdyn sopimuksen perusteella oikeus saada Verohallinnolta pyytämänsä lokitiedot.

Korkeimman hallinto-oikeuden ratkaisu

Korkein hallinto-oikeus myöntää valitusluvan ja tutkii asian.

1. Vaatimus suullisen käsittelyn toimittamisesta hylätään.

2. Vaatimus ennakkoratkaisun pyytämisestä unionin tuomioistuimelta hylätään.

3. Helsingin hallinto-oikeuden päätös kumotaan ja asia palautetaan sille uudelleen käsiteltäväksi.

Perustelut

1. Suullisen käsittelyn toimittamista koskevan vaatimuksen hylkääminen

Hallintolainkäyttölain 37 §:n 1 momentin mukaan asian selvittämiseksi toimitetaan tarvittaessa suullinen käsittely. Siinä voidaan kuulla asianosaisia, 36 §:ssä tarkoitettua viranomaista, todistajia ja asiantuntijoita sekä vastaanottaa muuta selvitystä.

Pääasiaratkaisun lopputulokseen nähden suullisen käsittelyn toimittaminen ei asian selvittämiseksi ole tarpeen.

2. Ennakkoratkaisupyynnön esittämistä koskevan vaatimuksen hylkääminen

Euroopan unionin toiminnasta tehdyn sopimuksen 267 artiklan mukaan unionin tuomioistuimella on toimivalta antaa ennakkoratkaisu muun ohella perussopimuksen ja unionin toimielimen säädöksen tulkinnasta.

Jos tällainen kysymys tulee esille sellaisessa kansallisessa tuomioistuimessa käsiteltävänä olevassa asiassa, jonka päätöksiin ei kansallisen lainsäädännön mukaan saa hakea muutosta, tämän tuomioistuimen on saatettava kysymys unionin tuomioistuimen käsiteltäväksi. Korkein hallinto-oikeus käyttää Suomessa ylintä tuomiovaltaa hallintolainkäyttöasioissa.

Kun otetaan huomioon, mitä pääasiaratkaisun perusteluissa on lausuttu, asiassa ei ole tullut esille sellaista kysymystä, jonka johdosta ennakkoratkaisupyynnön esittäminen olisi tarpeen.

3. Pääasiaratkaisu

Sovellettavat ja asiaan muutoin liittyvät oikeusohjeet

Euroopan parlamentin ja neuvoston asetuksen (EU) 2016/679 luonnollisten henkilöiden suojelusta henkilötietojen käsittelyssä sekä näiden tietojen vapaasta liikkuvuudesta ja direktiivin 95/46/EY kumoamisesta (yleinen tietosuoja-asetus) 15 artiklan (Rekisteröidyn oikeus saada pääsy tietoihin) 1 kohdan mukaan rekisteröidyllä on oikeus saada rekisterinpitäjältä vahvistus siitä, että häntä koskevia henkilötietoja käsitellään tai että niitä ei käsitellä, ja jos näitä henkilötietoja käsitellään, oikeus saada pääsy henkilötietoihin sekä 1 kohdassa erikseen luetellut tiedot.

Asetuksen 77 artiklan (Oikeus tehdä valitus valvontaviranomaiselle) 1 kohdan mukaan jokaisella rekisteröidyllä on oikeus tehdä valitus valvontaviranomaiselle, erityisesti siinä jäsenvaltiossa, jossa hänen vakinainen asuinpaikkansa tai työpaikkansa on taikka jossa väitetty rikkominen on tapahtunut, jos rekisteröity katsoo, että häntä koskevien henkilötietojen käsittelyssä rikotaan tätä asetusta, sanotun kuitenkaan rajoittamatta muita hallinnollisia muutoksenhakukeinoja tai oikeussuojakeinoja.

Asetuksen 78 artiklan (Oikeus tehokkaisiin oikeussuojakeinoihin valvontaviranomaista vastaan) 1 kohdan mukaan jokaisella luonnollisella henkilöllä tai oikeushenkilöllä on oikeus tehokkaisiin oikeussuojakeinoihin itseään koskevaa valvontaviranomaisen oikeudellisesti sitovaa päätöstä vastaan, sanotun kuitenkaan rajoittamatta muita hallinnollisia muutoksenhakukeinoja tai muita kuin oikeudellisia oikeussuojakeinoja.

Asetuksen 79 artiklan (Oikeus tehokkaisiin oikeussuojakeinoihin rekisterinpitäjää tai henkilötietojen käsittelijää vastaan) 1 kohdan mukaan jokaisella rekisteröidyllä on oikeus tehokkaisiin oikeussuojakeinoihin, jos hän katsoo, että hänen tähän asetukseen perustuvia oikeuksiaan on loukattu sen takia, ettei hänen henkilötietojensa käsittelyssä ole noudatettu tätä asetusta, sanotun kuitenkaan rajoittamatta käytettävissä olevien hallinnollisten muutoksenhakukeinojen tai muiden kuin oikeudellisten oikeussuojakeinojen käyttöä, mukaan lukien 77 artiklaan perustuva oikeus tehdä valitus valvontaviranomaiselle.

Yleisen tietosuoja-asetuksen 79 artiklan 1 kohdan edellä mainittu käsite ”oikeus tehokkaisiin oikeussuojakeinoihin” (ruotsiksi ”rätt till ett effektivt rättsmedel”) esiintyy eri kieliversioissa myös muodossa oikeus tehokkaisiin oikeussuojakeinohin tuomioistuimessa (saksaksi ”das Recht auf einen wirksamen gerichtlichen Rechtsbehelf”, ranskaksi ”droit à un recours juridictionnel effectif”, englanniksi ”the right to an effective judicial remedy” ja italiaksi ”il diritto di proporre un ricorso giurisdizionale effettivo”). Yleisen tietosuoja-asetuksen 141. perustelu-kappaleessa viitataan oikeuteen soveltaa tehokkaita oikeussuojakeinoja perusoikeuskirjan 47 artiklan mukaisesti. Perusoikeuskirjan 47 artiklan 1 kohdassa todetaan, että jokaisella, jonka unionin oikeudessa taattuja oikeuksia ja vapauksia on loukattu, on oltava tässä artiklassa määrättyjen edellytysten mukaisesti käytettävissään tehokkaat oikeussuojakeinot tuomioistuimessa.

Henkilötietolain (523/1999) 26 §:n 1 momentin 1. virkkeen mukaan jokaisella on salassapitosäännösten estämättä oikeus tiedon etsimiseksi tarpeelliset seikat ilmoitettuaan saada tietää, mitä häntä koskevia tietoja henkilörekisteriin on talletettu tai, ettei rekisterissä ole häntä koskevia tietoja.

Henkilötietolain 28 §:n 2 momentin mukaan rekisterinpitäjän on ilman aiheetonta viivytystä varattava rekisteröidylle tilaisuus tutustua 26 §:ssä tarkoitettuihin tietoihin tai annettava tiedot pyydettäessä kirjallisesti. Tiedot on annettava ymmärrettävässä muodossa. Jos rekisterinpitäjä kieltäytyy antamasta tietoja, hänen on annettava tästä kirjallinen todistus. Todistuksessa on mainittava myös ne syyt, joiden vuoksi tarkastusoikeus on evätty. Tarkastusoikeuden epäämisen veroisena pidetään sitä, että rekisterinpitäjä ei ole kolmen kuukauden kuluessa pyynnön esittämisestä antanut kirjallista vastausta rekisteröidylle. Rekisteröity voi saattaa asian tietosuojavaltuutetun käsiteltäväksi.

Henkilötietolain 40 §:n 2 momentin mukaan tietosuojavaltuutetun on ratkaistava asia, jonka rekisteröity on saattanut 28 ja 29 §:n nojalla hänen käsiteltäväkseen. Tietosuojavaltuutettu voi antaa rekisterinpitäjälle määräyksen rekisteröidyn tarkastusoikeuden toteuttamisesta tai tiedon korjaamisesta.

Henkilötietolain 45 §:n (901/2015) 1 momentin 1. virkkeen mukaan tietosuojavaltuutetun ja tietosuojalautakunnan päätökseen saa hakea muutosta valittamalla hallinto-oikeuteen siten kuin hallintolainkäyttölaissa (586/1996) säädetään.

Hallintolainkäyttölain (586/1996) 5 §:n 1 momentin mukaan päätöksellä, josta saa valittaa, tarkoitetaan toimenpidettä, jolla asia on ratkaistu tai jätetty tutkimatta.

Hallintolainkäyttölain 7 §:n (891/2015) 1 momentin 1. virkkeen mukaan valtioneuvoston alaisen viranomaisen ja ministeriön päätökseen saa hakea muutosta valittamalla hallinto-oikeuteen.

Lain esityöt

Yleistä tietosuoja-asetusta täydentävää ja täsmentävää 1.1.2019 voimaan tullutta tietosuojalakia (1050/2018) koskevasta hallituksen esityksestä (HE 9/2018 vp) annetussa lakivaliokunnan lausunnossa hallintovaliokunnalle (LaVL 5/2018 vp) on kohdassa ”Rekisteröidyn oikeus saattaa asia muun kuin tietosuojavaltuutetun käsiteltäväksi” todettu seuraavaa:

”Asetuksen 79 artiklassa säädetään rekisteröidyn oikeudesta tehokkaisiin oikeussuojakeinoihin rekisterinpitäjää tai henkilötietojen käsittelijää vastaan tämän oikeuden kuitenkaan rajoittamatta muun muassa 77 artiklaan perustuvaa oikeutta tehdä valitus valvontaviranomaiselle. Artiklan 2 kohdan mukaan kanne rekisterinpitäjää tai henkilötietojen käsittelijää vastaan on nostettava sen jäsenvaltion tuomioistuimissa, jossa rekisterinpitäjällä tai henkilötietojen käsittelijällä on toimipaikka. Tietosuojalakiehdotukseen ei sisälly erityisiä säännöksiä mainituista seikoista.

Mainittua artiklaa on valiokunnan asiantuntijakuulemisissa tulkittu yhtäältä siten, että se edellyttää nimenomaan tuomioistuimessa toteutettavia oikeussuojakeinoja, ja toisaalta siten, että oikeus saattaa asia tietosuojavaltuutetun käsiteltäväksi ja oikeus hakea muutosta tietosuojavaltuutetun päätöksestä tuomioistuimelta on riittävä.

Lakivaliokunta toteaa, että asetuksen 79 artikla on suoraan sovellettava säännös. Rekisteröity voi näin ollen vedota oikeuksiensa tueksi suoraan kyseiseen säännökseen. Asetuksen säännös ei myöskään vaikuta jättävän mahdollisuutta kansallisesti rajoittaa rekisteröidyn mahdollisuuksia kääntyä myös muiden tahojen kuin tietosuojavaltuutetun puoleen, vaikkakin käytännössä luontevampi tapa on kääntyä tietosuojavaltuutetun puoleen.

Oikeusjärjestelmämme sisältää jo nykyisin keinoja, joiden voidaan katsoa täyttävän 79 artiklan mukaiset rekisteröidyn oikeudet tehokkaisiin oikeussuojakeinoihin. Esimerkiksi silloin, kun rekisterinpitäjä tai henkilötietojen käsittelijä on muu kuin viranomainen, estettä ei ole sille, etteikö rekisteröity voi saattaa henkilötietojen käsittelyä koskevan asian riita-asiana käräjäoikeuden käsiteltäväksi. Kyse voi olla velvoittamiskanteesta tai vahvistuskanteesta. Rekisteröity voi velvoittamiskanteella vaatia rekisterinpitäjää toteuttamaan yleisen tietosuoja-asetuksen mukaisia oikeuksia, kuten rekisteröidyn tiedonsaantioikeus. Tuomioistuimen velvoittamiskanteen johdosta antama tuomio voidaan panna täytäntöön ulosottomenettelyssä. Rekisteröity voi nostaa henkilötietojen käsittelyä koskevassa asiassa myös vahvistuskanteen, joka voi koskea esimerkiksi sopimusehdon pätevyyttä. Lisäksi rekisteröity voi saattaa yleisen tietosuoja-asetuksen vahingonkorvausta koskevan 82 artiklan mukaisen vaatimuksen vireille käräjäoikeudessa.

Jos rekisterinpitäjä taas on viranomainen, rekisteröity voi valittaa viranomaisen rekisterinpitäjänä tekemästä hallintopäätöksestä hallinto-oikeuteen. Valiokunnan käsityksen mukaan viranomaisen tekemä hallintopäätös voi koskea myös henkilötietojen käsittelyä, ja tarvittaessa rekisteröity voi pyytää asiasta hallintopäätöksen, josta valituksen voi tehdä.”

Hallintovaliokunnan mietinnössä HaVM 13/2018 vp on selostettu lakivaliokunnan lausunnossa esitettyä ja todettu, että hallintovaliokunta yhtyy lakivaliokunnan esittämiin näkemyksiin.

Unionin tuomioistuimen oikeuskäytäntöä

Unionin tuomioistuimen oikeuskäytännön mukaan sekä unionin oikeuden yhtenäinen soveltaminen että yhdenvertaisuusperiaate edellyttävät, että unionin oikeuden sellaisen säännöksen tai määräyksen sanamuotoa, joka ei sisällä nimenomaista viittausta jäsenvaltioiden oikeuteen säännöksen tai määräyksen sisällön ja ulottuvuuden määrittämiseksi, on tavallisesti tulkittava koko unionissa itsenäisesti ja yhtenäisesti. Lisäksi unionin tuomioistuimen vakiintuneen oikeuskäytännön mukaan unionin oikeuden säännöksen tai määräyksen tulkitsemisessa on otettava huomioon paitsi sen sanamuoto ja sillä tavoitellut päämäärät myös asiayhteys ja unionin oikeuden säännökset ja määräykset kokonaisuudessaan. Myös unionin oikeuden säännöksen tai määräyksen syntyhistoriasta voi ilmetä sen tulkinnan kannalta merkityksellisiä seikkoja (tuomio 1.10.2019, Planet49, C 673/17, EU:C:2019:801, 47 ja 48 kohta oikeuskäytäntöviittauksineen).

Kysymyksenasettelu

Verohallinto on päätöksessään tarkastellut A:n lokitietoja koskevaa tietopyyntöä paitsi asiakirjajulkisuutta koskevien viranomaisten toiminnan julkisuudesta annetun lain (julkisuuslaki) säännösten perusteella, myös rekisteröidyn oikeutta saada pääsy henkilötietoihin koskevan yleisen tietosuoja-asetuksen säännöksen perusteella. Verohallinnon päätöksessä on katsottu, että A:lla ei ole oikeutta saada pyytämiään tietoja julkisuuslain eikä yleisen tietosuoja-asetuksen nojalla. Päätöksen perusteluissa on todettu, että A:lla on oikeus saattaa henkilötietojensa käsittelyä koskeva asia tietosuojavaltuutetun käsiteltäväksi. Päätökseen liitetyn valitusosoituksen mukaan siihen haetaan muutosta Helsingin hallinto-oikeudelta valituksella.

A oli valituksessaan hallinto-oikeudelle viitannut paitsi julkisuuslakiin, myös muun ohella yleiseen tietosuoja-asetukseen ja henkilötietolakiin. Hallinto-oikeus on kuitenkin käsitellyt ja ratkaissut asian yksinomaan asiakirjajulkisuusasiana soveltaen pelkästään julkisuuslain säännöksiä.

A:n valituslupahakemuksessa ja valituksessa korkeimmalle hallinto-oikeudelle on viitattu erityisesti yleiseen tietosuoja-asetukseen ja todettu muun ohella, että asetuksen 15 artikla on sivuutettu hallinto-oikeuden päätöksessä kokonaan.

Asiassa on ensin otettava kantaa siihen, olisiko hallinto-oikeuden tullut käsitellä A:n valitus Verohallinnon päätöksestä paitsi asiakirjajulkisuusasiana, myös rekisteröidyn tiedonsaantioikeutta koskevana tietosuoja-asiana.

Oikeudellinen arviointi

Koska rekisterinpitäjänä on viranomainen, kysymys on tällöin siitä, voidaanko sen yleisen tietosuoja-asetuksen 15 artiklaa soveltaen tekemästä tiedonsaantioikeuden epäämistä koskevasta päätöksestä valittaa asetuksen 79 artiklan 1 kohta ja hallintolainkäyttölain 5 §:n 1 momentti ja 7 §:n 1 momentti huomioon ottaen suoraan hallinto-oikeudelle siitä huolimatta, että rekisteröidyllä on ollut yleisen tietosuoja-asetuksen 77 artiklan 1 kohdan ja henkilötietolain 28 §:n 2 momentin perusteella joka tapauksessa oikeus saattaa asia tietosuojavaltuutetun käsiteltäväksi.

Yleisen tietosuoja-asetuksen 79 artiklan 1 kohdassa säädetään rekisteröidyn oikeudesta tehokkaisiin oikeussuojakeinoihin. Sekä unionin oikeuden yhtenäinen soveltaminen että yhdenvertaisuusperiaate edellyttävät, että unionin oikeuden sellaisen säännöksen tai määräyksen sanamuotoa, joka ei sisällä nimenomaista viittausta jäsenvaltioiden oikeuteen säännöksen tai määräyksen sisällön ja ulottuvuuden määrittämiseksi, on tavallisesti tulkittava koko unionissa itsenäisesti ja yhtenäisesti. Ottaen huomioon sanotun asetuksenkohdan sanamuodon ja sillä tavoitellut päämäärät sekä asiayhteyden ja unionin oikeuden säännökset ja määräykset kokonaisuudessaan korkein hallinto-oikeus katsoo, että siinä tarkoitetaan oikeutta tehokkaisiin oikeussuojakeinoihin tuomioistuimessa.

Jokaisella rekisteröidyllä on siten oikeus tehokkaisiin oikeussuojakeinoihin tuomioistuimessa, jos hän katsoo, että hänen mainittuun asetukseen perustuvia oikeuksiaan on loukattu sen takia, ettei hänen henkilötietojensa käsittelyssä ole noudatettu mainittua asetusta, sanotun kuitenkaan rajoittamatta käytettävissä olevien hallinnollisten muutoksenhakukeinojen tai muiden kuin oikeudellisten oikeussuojakeinojen käyttöä, mukaan lukien 77 artiklaan perustuva oikeus tehdä valitus valvontaviranomaiselle.

Rekisteröidyllä on näin katsottava olevan oikeus myös valittaa viranomaisen asemassa olevan rekisterinpitäjän yleisen tietosuoja-asetuksen 15 artiklaa soveltaen tekemästä tiedonsaantioikeuden epäämistä koskevasta päätöksestä suoraan hallinto-oikeudelle.

Hallinto-oikeuden olisi siten tullut käsitellä A:n valitus Verohallinnon päätöksestä paitsi asiakirjajulkisuusasiana, myös rekisteröidyn tiedonsaantioikeutta koskevana tietosuoja-asiana soveltaen yleisen tietosuoja-asetuksen säännöksiä.

Lopputulos

Edellä lausutun vuoksi hallinto-oikeuden päätös on kumottava ja asia on palautettava sille uudelleen käsiteltäväksi myös tietosuoja-asiana.

Kun hallinto-oikeus ratkaisee asian, sen tulee lausua myös A:n korkeimmassa hallinto-oikeudessa esitetyistä oikeudenkäyntikulujen korvaamista koskevista vaatimuksista.

Asian ovat ratkaisseet oikeusneuvokset Riitta Mutikainen, Mika Seppälä, Kari Tornikoski, Jaakko Autio ja Pekka Aalto. Asian esittelijä Mikko Rautamaa.