KHO:2020:8

Verotusmenettely – Vertailutietotarkastus – Tietosuoja – Pankki – Asiakasrekisteri – Tietopyynnön lainmukaisuus – Yleinen tietosuoja-asetus

Vuosikirjanumero: KHO:2020:8
Antopäivä: 30.1.2020
Taltionumero: 372
Diaarinumero: 86/2/18
ECLI-tunniste: ECLI:FI:KHO:2020:8

Verohallinto oli verotusmenettelystä annetun lain 21 §:n nojalla kehottanut pankki A Oyj:tä esittämään muun ohella listauksen kaikista asiakkaistaan vertailutietotarkastuksen suorittamista varten. Korkein hallinto-oikeus katsoi Euroopan unionin tietosuoja-asetukseen viitaten, että tällainen tietopyyntö ei ollut lainmukainen. Verohallinnon kehotuspäätös kumottiin.

Euroopan parlamentin ja neuvoston asetus (EU) 2016/679 luonnollisten henkilöiden suojelusta henkilötietojen käsittelyssä sekä näiden tietojen vapaasta liikkuvuudesta ja direktiivin 95/46/EY kumoamisesta (yleinen tietosuoja-asetus) 5 ja 6 artikla

Tietosuojalaki 4 § 2 kohta

Laki verotusmenettelystä 21 §

Päätös, jota valitus koskee

Helsingin hallinto-oikeus 15.11.2017 nro 17/1141/6

Asian aikaisempi käsittely

Verohallinto on 20.2.2013 antamallaan päätöksellä kehottanut verotusmenettelystä annetun lain 21 §:n ja A-konsernin omien verotuksen velvoitteiden hoitoon liittyviltä osin verotusmenettelystä annetun lain 14 §:n nojalla A Oyj:tä esittämään päätöksessä mainitun kirjanpitoaineiston ja verotarkastusta varten tarvittavan muun aineiston tarkastettavaksi 31.3.2013 mennessä.

Yhtiötä on kehotettu esittämään kirjanpitoaineisto ja muu elinkeino- tai muuhun tulonhankkimistoimintaan liittyvä aineisto, josta selviävät seuraavat verotarkastuksessa tarpeelliset tiedot:

1. Tiedot asiakkaista

  • listaus asiakkaista 31.12.2012 ajankohdan mukaan
  • asiakastunnus (henkilötunnus, y-tunnus, tin eli taxpayer identification numbers)
  • nimi, asuinvaltio ja (mikäli tietokannassa) kansalaisuus
  • aktiivinen/passiivinen (pankin oman määritelmän mukaan)
  • asiakkuustyyppi/palvelut esimerkiksi seuraavasti: pankkiasiakas, kaupankäyntiasiakas (ja pankkiasiakas), omaisuudenhoitoasiakas (ja pankkiasiakas sekä mahdollisesti kaupankäyntiasiakas).

2. Tiedot myönnetyistä lainoista ajalta 1.1.2009 - 31.12.2012

  • asiakastunnus ja asiakkaan nimi (velallinen)
  • lainan numero ja eräpäivä
  • käyttötarkoitus, korko, velan määrät ja antopäivämäärä
  • lyhennykset ja niiden maksuhetket
  • vakuudet (käytetyt tekniset yksilöintitiedot kuten pankin järjestelmän koodi, tyyppi, numero, tunnus, nimi, vakuuden sijaintivaltio)
  • vakuuden antajan yksilöintitiedot
  • vakuuden arvo, joka on vakuusarvon perusteena.

3. Tiedot välitetyistä vakuutuksista (B Oy) ja vakuutuksiin liittyvistä säilytettävistä ja hoidettavista varallisuuksista (A Oyj) vakuutuskohtaisesti eriteltynä ajalta 1.1.2009 - 31.12.2012

  • edunsaajien yksilöintitiedot (vrt. kohdassa 1. asiakaslistaus mainitut erittelyt)
  • vakuutuksen yksilöintitiedot (vakuuttajan yksilöintitiedot, vakuutuksen numero, nimi ja muut vastaavat tiedot)
  • vakuutukseen kuuluvan säilytettävän varallisuuden määrä 31.12.2012
  • valtakirjan perusteella hoidetun vakuutusvarallisuuden tapahtumatiedot (maksut ja nostot) 1.1.2009 - 31.12.2012
  • vakuutuksen ehdot
  • C:n vakuutuksiin liittyvät lunastukset ajalta 1.1.2009 - 31.12.2012 (kaikki lunastukset tuolta aikaväliltä).

4. Tiedot ulkomaan rahaliikenteestä ajalta 1.1.2009 - 31.12.2012

4.1 Suoritukset ulkomaille, 25 000 euroa ja sen ylittävät suoritukset

  • päivämäärä
  • maksun suorittajan (tilinhaltijan) asiakastunnus ja nimi sekä tilinumero
  • maksun määrä euroissa ja muussa valuutassa, jos maksu ei ole euromääräinen ja valuuttatunnus
  • kohdemaan tunnus ja kohdemaan nimi
  • saajan tiedot (asiakastunnus, tilinumero, nimi ja osoite).

4.2 Ulkomailta saapuneet maksut, 25 000 euroa ja sen ylittävät suoritukset

  • päivämäärä ja valuutta
  • maksun määrä euroissa ja valuutassa, jos maksu ei ole euromääräinen ja valuuttatunnus
  • maksun lähtömaan tunnus ja maan nimi
  • tilinumero, jolle maksu suoritetaan Suomessa
  • maksun saajan (tilinhaltijan) asiakastunnus ja nimi sekä tilinumero, jonne maksu saapui.

4.3 Maalistauksen mukaiset maksut

  • samat tiedot kuin yläpuolella, ilman euromääräistä rajaa

4.4 Tilastot ulkomaan rahaliikenteestä

  • maksuliikenteen jakautuminen valtioiden välillä (valuuttamääräinen ja kappalemääräinen).

5. Tiedot tilisiirroista ajalta 1.1.2009 - 31.12.2012

  • tilisiirto (otto tai pano), jos tapahtuma on 25 000 euroa tai yli
  • päivämäärä, tapahtumatyyppi (otto/pano), määrä
  • maksun suorittajan (tilinhaltijan) asiakastunnus ja nimi sekä tilinumero
  • saajan tiedot (asiakastunnus, tilinumero, nimi ja osoite, mikäli tiedossa).

6. Tiedot säilytyksessä olevan omistuksen siirroista ajalta 1.1.2009 - 31.12.2012

  • omistuksen siirto (säilytykseen tai säilytyksestä pois) mikäli peruste on muu kuin kauppa (osto, myynti) tai omistuksen kohteessa oleva tapahtuma (split, anti, osinko tms.)
  • päivämäärä
  • tapahtumatyyppi
  • kohde, määrä ja arvo siirtohetkellä
  • suorittajan (tilinhaltijan) asiakastunnus ja nimi sekä tilinumero
  • saajan tiedot (asiakastunnus, tilinumero, nimi ja osoite, mikäli tiedossa).

Tiedoista on pyydetty valmistamaan jäljennökset tarkastajien käyttöön niiltä osin kuin kyse on teknisistä tallenteista. Verohallinnon päätöksen mukaan jäljennösten valmistamisesta voidaan sopia erikseen siltä osin kuin kyse on tiedoista, jotka on säilytetty vain paperimuodossa ilman teknistä tallennetta. Teknisten jäljennösten valmistukseen liittyen päätöksessä on pyydetty 15.3.2013 mennessä esittämään sellainen kirjanpidon säilytyksen toteutustapojen kuvaus, jonka avulla atk-verotarkastaja pystyy saattamaan edellä mainitun aineiston selväkieliseen muotoon. Verohallinnon päätöksen liitteessä on lisäksi esitetty verotarkastuksessa ja vertailutietotarkastuksessa esitettävästä aineistosta muun muassa, että A Oyj:hin tehdään verotusmenettelystä annetun lain 14 §:n mukainen verotarkastus yhtiön oman verotuksen oikeellisuuden tarkastamiseksi ajanjaksolla 1.1.2009–31.12.2012 ja saman lain 21 §:n mukainen vertailutietotarkastus tietojen keräämiseksi vastaavalta ajalta yhtiön asiakkaista sekä heitä koskevista tapahtumista. Vertailutietotarkastus, joka on menettelyllisesti verotarkastus, kuuluu sivullisen erityisen tiedonantovelvollisuuden piiriin. Aineistojen ja omaisuuden esittämisvelvollisuus voi vertailutietotarkastuksessa olla joiltakin osin suppeampi ja joiltakin osin laajempi kuin yhtiön omassa verotarkastuksessa. Liitteen mukaan esitetty tietopyyntö on tehty sekä yhtiön oman verotuksen oikeellisuuden tarkastamiseksi että sen asiakkaita koskevien tietojen keräämiseksi, joten erottelulla ei ole merkitystä. Tarkastettavaksi esitettävän aineiston tarpeellisuuden ratkaisee verotarkastaja tarkastuksen yhteydessä.

Päätöksen liitteessä on viitattu tietosuojavaltuutetun lausuntoon, jossa on todettu, että luottolaitoksen koko asiakasrekisterin tietojen pyytäminen saattaisi merkitä verotuksessa tarpeettomien tietojen luovuttamista Verohallinnolle. Liitteen mukaan verotarkastuksessa ja vertailutietotarkastuksessa tarvittavan aineiston esittämistä koskevaa pyyntöä tehtäessä ei etukäteen tiedetä tarkalleen, mitä tietoja esimerkiksi luottolaitosten asiakasrekisterit sisältävät. Mitään verotuksessa tarpeetonta tietoa ei kerätä, mutta harkinta on tehtävä tarkastuksen yhteydessä, eikä sitä voida varmuudella etukäteen määrittää. Käytännössä on meneteltävä siten, että luottolaitokset esittävät tarkastajille tarkastettavaksi koko asiakasrekisterin tietosisällön, jonka perusteella tarkastajat voivat esittää arvion, mitkä tiedot ovat tarpeellisia tarkastuksessa ja mitkä eivät. Luottolaitos voi toimittaa itse tiedot tarkastajien antaman kehotuksen nojalla, tai tarkastajat keräävät tarvitsemansa tiedot esitettävästä aineistosta. Liitteessä on vielä esitetty muun muassa, että vertailutietotarkastuksissa kerättäviä tietoja tullaan käyttämään Verohallinnossa meneillään olevissa ja vireillä olevissa verovalvontahankkeissa.

A Oyj on valittanut Helsingin hallinto-oikeuteen ja vaatinut, että sille asetettu velvollisuus tietojen luovuttamiseen on poistettava Verohallinnon päätöksen kohtien 1 - 3 osalta sekä kohdassa 4 mainittujen tilastotietojen (kohta 4.4) ja maakohtaisten tietojen (4.3) osalta.

Helsingin hallinto-oikeus on 25.6.2014 antamallaan päätöksellä nro 14/0570/6 hylännyt yhtiön valituksen kokonaisuudessaan. Hallinto-oikeus on katsonut, että yhtiössä voidaan toimittaa vertailutietotarkastus yksinomaan muiden verovelvollisten, kuten pankin asiakkaiden, verotuksessa käytettävien tietojen keräämiseksi. Hallinto-oikeus on päätöksensä perusteluissa muun ohella katsonut, että verotarkastuksista tarkastuksen kohteelle aiheutuvien kustannusten on erikseen kussakin yksittäistapauksessa arvioiden oltava oikeassa suhteessa pyydettyjen tietojen määrään, laatuun ja niiden käyttötarkoitukseen nähden. Asiassa ei kuitenkaan ollut esitetty selvitystä yhtiölle tosiasiassa aiheutuvista kustannuksista, eikä tarkastuksen teknisestä toteuttamistavastakaan ollut ollut selvyyttä. Tähän nähden valituksenalaista päätöstä ei hallinto-oikeuden mukaan tullut muuttaa sillä perusteella, että yhtiölle aiheutuisi tietojen esittämisestä kohtuuttomia kustannuksia. Hallinto-oikeuden päätöksessä ei otettu kantaa yhtiön väitteen varaan jääneeseen seikkaan siitä, että yhtiöllä ei lainkaan ole joitakin pyydetyistä tiedoista hallussaan. Hallinto-oikeus totesi päätöksessään, että pankilla ei ole velvollisuutta esimerkiksi sellaisten asiakirjojen laatimiseen, joita sillä ei ole tai jotka sen pitäisi teettää jollain muulla taholla. Hallinto-oikeus ei ottanut kantaa tietojen esittämisen käytännön järjestämiseen tai pankille tietojen keräämisestä aiheutuvaan työmäärään.

Korkein hallinto-oikeus on 30.8.2016 antamallaan päätöksellä taltionumero 3593 kumonnut Helsingin hallinto-oikeuden päätöksen ja palauttanut asian hallinto-oikeudelle uudelleen käsiteltäväksi. Korkein hallinto-oikeus on päätöksessään lausunut, että hallinto-oikeuden olisi tullut selvittää, mikä merkitys vaadittujen tietojen antamiseen liittyvällä työmäärällä ja kustannuksilla on yhtiölle esitetyn kehotuksen lainmukaisuuden arvioinnissa, ja ratkaista, miltä osin yhtiöllä on velvollisuus esittää Verohallinnon päätöksessä mainittu aineisto.

Hallinto-oikeuden ratkaisu

Helsingin hallinto-oikeus on hylännyt yhtiön vaatimuksen Euroopan unionin tuomioistuimen ennakkoratkaisun hankkimisesta.

Hallinto-oikeus ei ole tutkinut asiaa siltä osin kuin yhtiön esittämät vaatimukset koskevat seikkoja, joiden osalta asian on korkeimman hallinto-oikeuden päätöksellä 30.8.2016 taltionumero 3593 katsottava jäljempänä perusteluista ilmenevällä tavalla tulleen jo lainvoimaisesti ratkaistuksi.

Hallinto-oikeus on hylännyt valituksen siltä osin kuin valitus on tutkittu pidentäen kuitenkin aineiston esittämisvelvollisuutta koskevaa määräaikaa 31.1.2018 saakka.

Hallinto-oikeus on perustellut päätöstään muun ohella seuraavasti:

1. Ennakkoratkaisun pyytäminen Euroopan unionin tuomioistuimelta

Yhtiön mukaan asiassa olisi tullut jo prosessin aiemmassa vaiheessa tehdä ennakkoratkaisupyyntö Euroopan unionin tuomioistuimelle. Hallinto-oikeus katsoo, ettei sen arvioitavana korkeimman hallinto-oikeuden palautuspäätöksen myötä ole sellaista Euroopan unionin oikeuden piiriin kuuluvaa tulkinnanvaraista asiaa, josta olisi aihetta pyytää ennakkoratkaisua Euroopan unionin tuomioistuimelta.

2. Tutkimatta jättäminen ja asian käsittelyn rajaaminen

Korkein hallinto-oikeus on päätöksellään 30.8.2016 taltionumero 3593 kumonnut hallinto-oikeuden 25.6.2014 asiassa antaman päätöksen ja palauttanut asian hallinto-oikeudelle uudelleen käsiteltäväksi. Asiassa on sinänsä riidatonta, että korkeimman hallinto-oikeuden ratkaistavana oli tuossa vaiheessa ollut se, onko Verohallinnon päätös valituskelpoinen, onko verotusmenettelystä annetun lain 21 §:n mukainen vertailutietotarkistus menettelyiltään ja aineiston esittämisvelvollisuudeltaan samankaltainen kuin saman lain 14 §:n tarkoittama verotarkastus ja tuleeko saman lain 19 § sovellettavaksi arvioitaessa aineiston esittämisvelvollisuutta vertailutietotarkastuksessa.

Yhtiö on katsonut, että asia on kokonaisuudessaan vielä lainvoimaisesti ratkaisematta. Veronsaajien oikeudenvalvontayksikkö on katsonut, että edellä luetellut kolme oikeuskysymystä on korkeimman hallinto-oikeuden päätöksellä lainvoimaisesti ratkaistu.

Korkeimman hallinto-oikeuden päätöksen päätöslauselmassa on todettu, että hallinto-oikeuden päätös kumotaan ja asia palautetaan hallinto-oikeudelle uudelleen käsiteltäväksi perusteluista tarkemmin ilmenevistä syistä. Päätöksensä perusteluissa korkein hallinto-oikeus on ilmoittanut palauttamisen syyksi sen, että hallinto-oikeuden olisi tullut selvittää, mikä merkitys vaadittujen tietojen antamiseen liittyvällä työmäärällä ja kustannuksilla on esitetyn kehotuksen lainmukaisuuden arvioinnissa, ja ratkaista, miltä osin yhtiöllä on velvollisuus esittää vaadittu aineisto.

Hallinto-oikeus toteaa, että asian palauttamiselle hallinto-oikeudelle uudelleen käsiteltäväksi ei ole korkeimman hallinto-oikeuden päätöksen perusteluissa esitetty muuta syytä kuin tietojen antamiseen liittyvän työmäärän ja kustannusten merkityksen arviointi. Tämä palautusperusteena oleva, vielä selvittämättömäksi katsottu asia ei ole sen luonteinen, että se olisi ratkaistava ennen edellä lueteltujen kolmen riidanalaisen oikeuskysymyksen ratkaisemista.

Korkeimman hallinto-oikeuden päätöksen perusteella asiassa on tietojen antamisesta aiheutuva työmäärä ja kustannukset huomioon ottaen tutkittava, miltä osin Verohallinnon päätöksen mukainen tietojen esittämisvelvollisuus on olemassa yhtiön kohdalla. Avoimeksi on siis asiassa korkeimman hallinto-oikeuden päätöksen perusteella jäänyt ainoastaan yhtiölle aiheutuvan työmäärän ja kustannusten merkitys, johon ei ollut hallinto-oikeuden päätöksessä otettu kantaa. Ei ole aihetta katsoa, että asia olisi palautettu sanotulla perusteella hallinto-oikeudelle uudelleen käsiteltäväksi, jos korkein hallinto-oikeus olisi tarkoittanut tässä vaiheessa vielä jättää avoimeksi myös kysymyksen siitä, onko tietojen esittämisvelvollisuutta olemassa niilläkään perusteilla, joilta osin hallinto-oikeus oli 25.6.2014 antamassaan päätöksessä jo asian arvioinut.

Hallinto-oikeuden päätöksessä 25.6.2014 valituksenalaisen Verohallinnon päätöksen lainmukaisuus on, yhtiölle aiheutuvien kustannusten ja työmäärän merkitystä lukuun ottamatta, tutkittu ja arvioitu perustuslain, henkilötietolain ja hallinnon yleisten oikeusperiaatteiden valossa. Hallinto-oikeuden päätöksessä on katsottu, että vertailutietotarkistuksen toimittamiseen ei ole yhtiön kohdalla estettä. Korkeimman hallinto-oikeuden ei voida katsoa päätöksellään kumonneen hallinto-oikeuden päätöstä näiltä osin. Näiltä osin asian on katsottava tulleen korkeimman hallinto-oikeuden päätöksen myötä lainvoimaisesti ratkaistuksi, eikä hallinto-oikeus voi kustannusten ja työmäärän vaikutusta lukuun ottamatta tutkia asiaa uudelleen.

Asiassa on hallinto-oikeudessa edellä todetulla ratkaistavana se, onko Verohallinnon päätös lain ja hallinnon oikeusperiaatteiden mukainen yhtiölle aiheutuvat kustannukset ja työmäärä huomioon ottaen ja, jos ei ole, onko valituksenalaista päätöstä joltakin osin muutettava tällä perusteella. Korkeimman hallinto-oikeuden on katsottava palauttaneen asian hallinto-oikeudelle ainoastaan tämän asian arvioimiseksi.

3. Tutkitulta osin – työmäärän ja kustannusten kohtuullisuus

( - - )

3.2. Työmäärää ja kustannuksia koskevan selvityksen riittävyys

Yhtiö on esittänyt selvitystä sille aiheutuvasta työmäärästä ja lisäksi esittänyt arvion, jonka mukaan sille aiheutuisi Verohallinnon selvityspyynnön johdosta yhteensä 452 000 - 566 000 euron ylimääräiset kustannukset. Yritysverotusyksikön lausunnossa on katsottu, että yhtiön laatima arvio aiheutuvasta työmäärästä ja kustannuksista on niin suurpiirteinen, ettei sen luotettavuuden arviointi ole mahdollista. Veronsaajien oikeudenvalvontayksikkö on vastineessaan myös katsonut, että yhtiön esittämää selvitystä ei voida asettaa perustaksi, kun yhtiölle kehotuksessa mainitun aineiston esittämisestä aiheutuvaa työmäärää ja kustannuksia arvioidaan. Hallinto-oikeus katsoo, että yhtiön esittämää selvitystä, myös vastaselityksen liitteenä oleva selvitys huomioiden, on pidettävä riittävänä. Kyse on asiasta, johon liittyvät kustannukset täsmentyvät lopullisesti vasta verotarkastuksen myöhemmässä vaiheessa. Verohallinto on jo asian käsittelyn aiemmassa vaiheessa esittänyt, että näihin seikkoihin vaikuttavista käytännön menettelyistä on tarkoitus sopia tarkemmin erikseen. Hallinto-oikeus katsoo, että vaadittujen tietojen esittämisestä yhtiölle aiheutuva työmäärä ja kustannukset on selvitetty siinä määrin kuin selvittämistä ylipäätään asian käsittelyn tässä vaiheessa voidaan asian eri osapuolilta kohtuudella edellyttää. Asia on siten ratkaistavissa käytössä olevan selvityksen pohjalta.

3.3. Vertailutietotarkastuksen lainmukaisuus yhtiölle aiheutuvan työmäärän ja kustannusten valossa

( - - )

Hallinto-oikeus katsoo, ettei asiassa esitetyn selvityksen perusteella ole syytä olettaa, että yhtiölle asiassa aiheutuvien kustannusten ja ylimääräisen työn määrä olisi muihin vertailutietotarkastuksen kohteena oleviin luottolaitoksiin verrattuna poikkeuksellinen. Yhtiö ei ole myöskään esittänyt selvitystä kulujen ja työn määrän poikkeuksellisuudesta muihin luottolaitoksiin verrattuna, vaikka sillä olisi ollut tähän mahdollisuus. Yritysverotusyksikön lausunnon mukaan muut vertailutietotarkastuksen kohteena olevat luottolaitokset eivät ole esittäneet väitteitä työn ja kustannusten määrän kohtuuttomuudesta, mikä ei tue yhtiön näkemystä siitä, että Verohallinnon tietopyyntö olisi kohtuuton ja suhteellisuusperiaatteen vastainen.

Yhtiö voi hoitaa lakisääteiset velvoitteensa itselleen käytännöllisimmäksi katsomallaan tavalla, jonka laki mahdollistaa. Yhtiö ei kuitenkaan voi kieltäytyä tietojen esittämisvelvollisuudesta vertailutietotarkastusta varten sillä perusteella, että sen joidenkin velvoitteiden hoitamisesta huolehtii ulkopuolinen taho yhtiön oman henkilökunnan asemesta. Koska yhtiöltä pyydettävät tiedot ovat Yritysverotusyksikön lausunto huomioon ottaen tietoja, jotka yhtiöllä lain mukaan joko on tai ainakin pitäisi jo olla hallussaan, Verohallinnon päätöksen kohtuullisuutta arvioitaessa ei voida antaa merkitystä sille, että yhtiö mahdollisesti joutuu tiedot esittääkseen turvautumaan ulkopuolisen tahon apuun.

Tietosuojadirektiivin ja henkilötietolain säännösten osalta hallinto-oikeus toteaa vielä, että mainittujen säännösten soveltuvuus ja vaikutus käsillä olevaan asiaan on tutkittu ja lainvoimaisesti ratkaistu korkeimman hallinto-oikeuden päätöksellä siltä osin kuin asiaa ei ole palautettu hallinto-oikeudelle uudelleen arvioitavaksi. Kustannusten ja työmäärän vaikutuksen osalta hallinto-oikeus toteaa, etteivät rekisterinpitäjälle tietopyynnön johdosta mahdollisesti aiheutuvat lisätyöt ja lisäkustannukset ole henkilötietolain mukainen peruste, joka oikeuttaisi rekisterinpitäjää kieltäytymään tietojen esittämisestä Verohallinnolle vertailutietotarkastusta varten.

3.4. Lopputulos

A Oyj on velvollinen esittämään valituksenalaisessa päätöksessä mainitut tiedot Verohallinnolle kokonaisuudessaan vertailutietotarkastuksen toimittamista varten. Tietojen esittämisvelvollisuus kuuluu VMA 3 §:n ja 4 §:n nojalla yhtiön velvollisuuksiin. Kun kyse on tiedoista, jotka yhtiöllä tulee lain nojalla olla hallussaan, tietojen esittämistä koskevaa Verohallinnon kehotusta ei voida pitää hallinnon oikeusperiaatteiden vastaisena A Oyj:lle asiassa aiheutuvat lisäkustannukset tai ylimääräisen työn määräkään huomioon ottaen.

Valituksenalaisessa päätöksessä A Oyj:tä on kehotettu esittämään päätöksessä mainittu kirjanpitoaineisto ja verotarkastusta varten tarvittava muu aineisto Verohallinnolle 31.3.2013 mennessä. Kun otetaan huomioon valitusasian käsittelyn kesto, hallinto-oikeus katsoo kohtuulliseksi pidentää edellä mainittua määräaikaa 31.1.2018 saakka. Valituksenalaista päätöstä ei muilta osin muuteta.

Asian ovat ratkaisseet hallinto-oikeuden jäsenet Mika Hämäläinen, Sinikka Välitalo ja Mikko Nieminen, joka on myös esitellyt asian.

Käsittely korkeimmassa hallinto-oikeudessa

A Oyj on pyytänyt lupaa valittaa hallinto-oikeuden päätöksestä ja valituksessaan vaatinut, että hallinto-oikeuden päätös kumotaan. Korkeimman hallinto-oikeuden on ratkaistava asia suoraan tai palautettava asia hallinto-oikeudelle uudelleen käsiteltäväksi.

Pankki on perustellut vaatimuksiaan muun ohella seuraavasti:

Hallinto-oikeus ei ole selvittänyt asiaa korkeimman hallinto-oikeuden päätöksessä edellytetyllä tavalla.

Luottolaitoksella ei ole velvollisuutta esimerkiksi sellaisten asiakirjojen laatimiseen, joita sillä ei ole tai jotka sen pitäisi teettää jollain muulla taholla. Jos Verohallinto on pyytänyt luottolaitokselta esimerkiksi jotain asiakirjaa tai tietoa, jota luottolaitoksella ei lain mukaan tarvitse olla, Verohallinnon tietopyyntöä ei voida pitää lainmukaisena tältä osin.

Verohallinnon tietopyynnön kohdan 3 osalta yhtiö on jo aiemmin prosessissa esittänyt, että se ei ole juridinen osapuoli siinä mainituissa vakuutussopimuksissa. Vakuutussopimukset on tehty vakuutuksenottajan ja ulkopuolisen vakuutusyhtiön kesken. Kaikki tehdyt vakuutussopimukset eivät tule yhtiön tietoon esimerkiksi tilanteissa, joissa vakuutuksen alainen omaisuus siirtyy muualta yhtiöön hallinnoitavaksi, eikä sille myöskään välttämättä tule tietoa vakuutussopimusten ja niiden ehtojen muutoksista, koska nämä liittyvät vakuutuksenottajan ja vakuutusyhtiön väliseen sopimussuhteeseen. Hallinto-oikeus ei näytä lainkaan arvioineen näiden seikkojen vaikutusta.

Verotarkastajat ovat pyytäneet yhtiötä antamaan kaiken mahdollisen tiedon ilman rajauksia. Väitetty tietopyynnön rajaaminen 10 kenttään on epärelevantti argumentti asian ratkaisemisen kannalta ja voi jopa johtaa harhaan. Tietojen toimittaminen edellyttää sitä, että yhtiö ensiksi rakentaa koko tietoaineiston verotarkastajien käyttöön, mikä käytännössä jo itsessään johtaa tietojen massaluovutukseen ilman rajauksia.

EU:n tietosuoja-asetus tuli voimaan toukokuussa 2016 ja sen soveltaminen alkaa 25.5.2018. Asetuksen johdantokappaleen kohdan 31 mukaan viranomaisten lähettämien luovutuspyyntöjen olisi aina oltava kirjallisia, perusteltuja ja satunnaisia, eikä niiden pitäisi koskea kokonaista rekisteriä tai johtaa rekisterien yhteenliittämiseen. Näiden viranomaisten olisi käsiteltävä henkilötietoja sovellettavien tietosuojasääntöjen ja tietojenkäsittelyn tarkoitusten mukaisesti. Kun tarkastellaan yhtiön saamaa tietopyyntöä, voidaan perustellusti kyseenalaistaa sen EU:n tietosuoja-asetuksen mukaisuus.

Veronsaajien oikeudenvalvontayksikkö on vastineessaan esittänyt valituksen hylkäämistä.

Oikeudenvalvontayksikkö on esittänyt perusteluinaan muun ohella seuraavaa:

Korkein hallinto-oikeus ei voi ottaa käsillä olevaa asiaa enää sen pääasiallisten oikeuskysymysten osalta uudelleen tutkittavakseen, koska asia on näiden oikeuskysymysten osalta jo lainvoimaisesti ratkaistu korkeimman hallinto-oikeuden aiemmalla päätöksellä.

Hallinto-oikeus on menetellyt asiassa korkeimman hallinto-oikeuden aiemmassa päätöksessä tarkoitetulla tavalla. Täten oikeudenvalvontayksikkö katsoo, toisin kuin yhtiö, että hallinto-oikeuden päätös on sisällöltään oikea ja perustuu virheettömään laintulkintaan.

Yhtiö on todennut kehotuksen tietopyyntökohdan numero 3 osalta esitetyistä näkökohdista, että se on B Oy:n emoyhtiö. Tämän vuoksi oikeudenvalvontayksikkö pitää todennäköisenä, että yhtiöllä on hallussaan tai saatavilla myös kehotuksessa pyydetyt tiedot mainitun tytäryhtiön välittämistä vakuutuksista. Kuten Helsingin hallinto-oikeuden asiassa antamista päätöksistä ilmenee, yhtiöllä ei ole Verohallinnon kehotuksen johdosta velvollisuutta sellaisten asiakirjojen tai tietojen laatimiseen tai esittämiseen, joita yhtiöllä ei ole tai jotka sen pitäisi teettää jollakin muulla taholla.

Yhtiö esittää edelleen virheellisen tosiseikkatiedon siitä, että verotarkastajat olisivat pyytäneet sitä antamaan kaiken mahdollisen tiedon ilman rajauksia. Tämä väite ei pidä paikkaansa. Verohallinto ei ole kehottanut yhtiötä esittämään koko asiakasrekisterinsä tietosisältöä (yhteensä yli 150 tietokenttää), vaan ainoastaan yhteensä noin 10 tietokentän osalta per asiakas. Tämä tosiseikkatieto on myös todettu hallinto-oikeuden päätöksen perusteluissa.

Tietosuoja-asetuksella ei ole merkitystä, kun käsillä oleva asia ratkaistaan. Tämä johtuu siitä, että kehotuksessa yhtiöltä on pyydetty tietoja ajanjaksolta 1.1.2009–31.12.2012. Mainittu tietosuoja-asetus on sen sijaan tullut voimaan vasta 25.5.2016 ja sen soveltaminen jäsenvaltioissa on alkanut 25.5.2018. Lähtökohtaisesti jo mainittujen ajallisten erojen vuoksi oikeudenvalvontayksikkö katsoo, että tietosuoja-asetuksella ei ole käsillä olevassa asiassa merkitystä. Yhtiö ei voi kieltäytyä esittämästä Verohallinnolle kehotuksessa mainittuja tietoja ja aineistoja myöskään tietosuojadirektiivin tai henkilötietolain säännösten nojalla.

Pankki on antanut vastaselityksen, joka on lähetetty tiedoksi oikeudenvalvontayksikölle. Yhtiö on esittänyt muun ohella, että tietopyynnöt, joita yhtiölle on esitetty, ovat tietosuoja-asetuksen vastaisia. Lisäksi on otettava huomioon, että tietopyynnön esittämisen aikaan voimassa olleen tietosuojadirektiivin 95/46/EY tarkoitus ja henki on sama kuin tietosuoja-asetuksessa. Myös tietosuojavaltuutettu on katsonut, ettei lainsäätäjä ole tarkoittanut luottolaitoksia koskevista vertailutietotarkastuksista säätäessään, että kohdentamattomia tietopyyntöjä voitaisiin esittää. Tietosuoja- ja tietoturvanäkökohdilla on liittymä myös tietopyynnön lainmukaisuuden arviointiin.

Korkein hallinto-oikeus on pyytänyt tietosuojavaltuutetun lausuntoa.

Apulaistietosuojavaltuutettu on antanut lausunnon. Lausunnossa on todettu muun ohella seuraavaa:

Tietosuojavaltuutettu on antanut asian aiemmassa käsittelyvaiheessa yhtiölle ja Verohallinnolle 18.10.2012 lausunnon. Nyt käsiteltävänä olevaa kysymystä on tarkasteltu henkilötietolain (523/1999) näkökulmasta ja kiinnitetty huomiota muun muassa luovutettavien tietojen tarpeellisuuteen vertailutietotarkastuksessa. Yleinen tietosuoja-asetus on henkilötietolakia yksityiskohtaisempi myös näiden säännösten osalta, mutta se ei tältä osin muuta oikeustilaa siten, että tietosuojavaltuutetun asiassa aiemmin lausumaa olisi tässä yhteydessä syytä tarkistaa. Tietosuojavaltuutetun 18.10.2012 antamassa lausunnossa esitetty yhteenveto ja johtopäätökset ovat siten asian käsittelyn kannalta olennaisia.

On huomattava, että vaikka Verohallinnon päätös on tehty ennen yleisen tietosuoja-asetuksen soveltamisen alkamista, tietopyyntöä ei ole vielä laitettu täytäntöön. Mahdollinen tietojen luovutus tapahtuisi siten vasta yleisen tietosuoja-asetuksen soveltamisen jo alettua.

Yleisen tietosuoja-asetuksen säännöksistä erityistä huomiota tulisi kiinnittää 5 artiklan mukaisiin henkilötietojen käsittelyn periaatteisiin sekä 25 artiklassa säädettyyn sisäänrakennettuun ja oletusarvoiseen tietosuojaan. Kuten tietosuojavaltuutettu on asian aiemmassa käsittelyvaiheessa todennut, vertailutietotarkastuksella kerättävien tietojen tulisi olla olennaisia kyseessä olevan asian selvittämiseksi sekä rajoitettuja siihen, mikä on tarpeellista suhteessa niihin tarkoituksiin, joita varten niitä käsitellään. Vertailutietotarkastuksen tekeminen ei vaikuta edellyttävän koko asiakasrekisterin luovuttamista. Tietojen luovuttaminen on henkilötietoja koskevien säännöksien mukaista ainoastaan siltä osin kuin luovutettavat tiedot ovat tarpeellisia. Vertailutietotarkastus tulisi suunnitella siten, ettei siinä lähtökohtaisesti kerätä tarpeetonta tietoa varmuuden vuoksi tai kustannussyistä. Lisäksi laajojen tietokantojen siirtely myös nostaa riskiä tietoturvallisuuden näkökulmasta.

A Oyj:lle on varattu tilaisuus lausua apulaistietosuojavaltuutetun lausunnon johdosta. Yhtiö on antanut lausuman sekä täydentänyt samalla valitustaan.

Veronsaajien oikeudenvalvontayksikkö on antanut lisälausuman.

Pankki on antanut lausuman, joka on lähetetty tiedoksi Veronsaajien oikeudenvalvontayksikölle.

Korkeimman hallinto-oikeuden ratkaisu

Korkein hallinto-oikeus on myöntänyt A Oyj:lle valitusluvan.

1. Hallinto-oikeuden päätös kumotaan ja poistetaan. Korkein hallinto-oikeus ottaa enemmän viivytyksen välttämiseksi A Oyj:n hallinto-oikeudelle tekemän valituksen asiaa hallinto-oikeudelle palauttamatta välittömästi tutkittavakseen.

2. Pankin hallinto-oikeudelle esittämä vaatimus ennakkoratkaisun pyytämisestä Euroopan unionin tuomioistuimelta hylätään.

3. Valitus hyväksytään. Hallinto-oikeuden päätös ja Verohallinnon kehottamispäätös 20.2.2013 valituksenalaisin osin kumotaan.

Perustelut

1. Menettely hallinto-oikeudessa

Korkein hallinto-oikeus on 30.8.2016 antamallaan päätöksellään taltionumero 3593 kumonnut Helsingin hallinto-oikeuden 25.6.2014 antaman päätöksen nro 14/0570/6 ja palauttanut asian päätöksensä perusteluista ilmenevistä syistä hallinto-oikeudelle uudelleen käsiteltäväksi. Korkein hallinto-oikeus on perusteluissaan lausunut, että hallinto-oikeuden olisi tullut selvittää, mikä merkitys vaadittujen tietojen antamiseen liittyvällä työmäärällä ja kustannuksilla on esitetyn kehotuksen lainmukaisuuden arvioinnissa, ja ratkaista, miltä osin pankilla on velvollisuus esittää vaadittu aineisto.

Hallinto-oikeus ei ole valituksenalaisella päätöksellään tutkinut asiaa siltä osin kuin hallinto-oikeus on katsonut yhtiön esittämien vaatimusten tulleen mainitulla korkeimman hallinto-oikeuden päätöksellä jo lainvoimaisesti ratkaistuiksi. Hallinto-oikeus on perusteluissaan todennut, että hallinto-oikeuden aiemmassa päätöksessä 25.6.2014 valituksenalaisen Verohallinnon päätöksen lainmukaisuus on, yhtiölle aiheutuvien kustannusten ja työmäärän merkitystä lukuun ottamatta, tutkittu ja arvioitu perustuslain, henkilötietolain ja hallinnon yleisten oikeusperiaatteiden valossa. Tuossa aiemmassa hallinto-oikeuden päätöksessä on katsottu, että vertailutietotarkastuksen toimittamiseen ei ole yhtiön kohdalla estettä. Korkeimman hallinto-oikeuden ei voida hallinto-oikeuden mukaan katsoa päätöksellään kumonneen hallinto-oikeuden päätöstä näiltä osin. Hallinto-oikeus on lausunut, että näiltä osin asian on katsottava tulleen korkeimman hallinto-oikeuden päätöksen myötä lainvoimaisesti ratkaistuksi, eikä hallinto-oikeus voi kustannusten ja työmäärän vaikutusta lukuun ottamatta tutkia asiaa uudelleen.

Korkein hallinto-oikeus toteaa, että hallinto-oikeuden päätös 25.6.2014 on kumottu kokonaisuudessaan. Vaikka hallinto-oikeutta on ohjattu selvittämään tietojen antamiseen liittyvän työmäärän ja kustannusten merkitystä pankille esitetyn kehotuksen lainmukaisuuden arvioinnissa, hallinto-oikeuden on tullut lisäselvitysten hankkimisen jälkeen kaikilta osin ratkaista, miltä osin pankilla on velvollisuus esittää vaadittu aineisto. Hallinto-oikeuden olisi tullut ottaa tällöin tarpeellisin osin huomioon myös perustuslaki, henkilötietolaki ja hallinnon yleiset oikeusperiaatteet.

Hallinto-oikeus on kuvatuin tavoin asian tutkimista rajoittaessaan menetellyt olennaisella tavalla virheellisesti. Hallinto-oikeuden päätös on tämän vuoksi kumottava ja poistettava. Asiassa jo saatu selvitys huomioon ottaen pankin valitus hallinto-oikeudelle on kuitenkin otettava enemmän viivytyksen välttämiseksi asiaa hallinto-oikeudelle palauttamatta täällä välittömästi ratkaistavaksi.

2. Ennakkoratkaisun pyytäminen unionin tuomioistuimelta

A Oyj on hallinto-oikeudessa vaatinut, että asiassa pyydetään Euroopan unionin toiminnasta tehdyn sopimuksen (SEUT) 267 artiklassa tarkoitettu ennakkoratkaisu yksilöiden suojelusta henkilötietojen käsittelyssä ja näiden tietojen vapaasta liikkuvuudesta annetun direktiivin (95/46/EY) tulkinnasta.

Unionin tuomioistuimen oikeuskäytännöstä ilmenee, että velvollisuutta tehdä SEUT 267 artiklassa tarkoitettu ennakkoratkaisupyyntö ei ole silloin, jos kansallisessa tuomioistuimessa ei esiinny todellista epäilyä unionin tuomioistuimen olemassa olevan oikeuskäytännön soveltamismahdollisuudesta asiaan tai jos on täysin selvää, miten unionin oikeutta on kyseisessä tilanteessa asianmukaisesti sovellettava.

Kun otetaan huomioon jäljempänä ilmenevät pääasiaratkaisun perustelut, asiassa ei ole tullut esille sellaista kysymystä, jonka johdosta ennakkoratkaisupyynnön esittäminen olisi edellä mainittu huomioon ottaen tarpeen.

3. Pääasia

3.1. Kysymyksenasettelu

Verohallinnon 20.2.2013 antama kehotuspäätös on valituskelpoinen vain siltä osin kuin pankkia on kehotettu esittämään tarkoitettu aineisto vertailutietotarkastusta koskevan verotusmenettelystä annetun lain 21 §:n nojalla. Pankki on osin tyytynyt päätökseen tältäkin osin, ja sen valitus on kohdistunut päätöksen kohtiin 1 - 3 sekä 4.4 ja 4.3. Asiassa on kysymys päätöksen lainmukaisuuden arvioimisesta tältä osin.

Hallintopäätöksen lainmukaisuutta on siihen kohdistuvan valituksen yhteydessä yleensä arvioitava päätöksen tekemisajankohdan mukaan. Tässä asiassa on otettava huomioon, että päätöstä ei ole vielä pantu täytäntöön ja että tietosuojalainsäädäntö on päätöksen tekemisen 20.2.2013 jälkeen ratkaisevasti muuttunut. Korkein hallinto-oikeus katsoo perustelluksi ensin arvioida, estääkö nykyinen tietosuojalainsäädäntö päätöksen mahdollisen täytäntöönpanon.

3.2. Sovellettavat oikeusohjeet

Verotusmenettelystä annetun lain 21 §:n mukaan verotarkastus voidaan toimittaa myös yksinomaan siinä tarkoituksessa, että kerätään tietoja, joita voidaan käyttää muun verovelvollisen verotuksessa (vertailutietotarkastus).

Euroopan parlamentin ja neuvoston asetuksen (EU) 2016/679 luonnollisten henkilöiden suojelusta henkilötietojen käsittelyssä sekä näiden tietojen vapaasta liikkuvuudesta ja direktiivin 95/46/EY kumoamisesta (yleinen tietosuoja-asetus) johdanto-osan kohdan 31 mukaan viranomaisia, kuten vero- ja tulliviranomaisia, talousrikosten tutkintayksiköitä, riippumattomia hallintoviranomaisia tai rahoitusmarkkinaviranomaisia, joille luovutetaan henkilötietoja lakisääteisen velvoitteen mukaisesti niiden julkisen tehtävän suorittamiseksi ja jotka vastaavat arvopaperimarkkinoiden sääntelystä ja valvonnasta, ei olisi pidettävä tietojen vastaanottajina niiden vastaanottaessa tietoja, jotka ovat tarpeen jonkin tietyn yleisen edun vuoksi tehtävän tutkimuksen toteuttamiseksi unionin tai jäsenvaltion lainsäädännön mukaisesti. Viranomaisten lähettämien luovutuspyyntöjen olisi aina oltava kirjallisia, perusteltuja ja satunnaisia, eikä niiden pitäisi koskea kokonaista rekisteriä tai johtaa rekisterien yhteenliittämiseen. Näiden viranomaisten olisi käsiteltävä henkilötietoja sovellettavien tietosuojasääntöjen ja tietojenkäsittelyn tarkoitusten mukaisesti.

Tietosuoja-asetuksen määritelmiä koskevan 4 artiklan mukaan asetuksessa tarkoitetaan

  1. ’henkilötiedoilla’ kaikkia tunnistettuun tai tunnistettavissa olevaan luonnolliseen henkilöön, jäljempänä ’rekisteröity’, liittyviä tietoja; tunnistettavissa olevana pidetään luonnollista henkilöä, joka voidaan suoraan tai epäsuorasti tunnistaa erityisesti tunnistetietojen, kuten nimen, henkilötunnuksen, sijaintitiedon, verkkotunnistetietojen taikka yhden tai useamman hänelle tunnusomaisen fyysisen, fysiologisen, geneettisen, psyykkisen, taloudellisen, kulttuurillisen tai sosiaalisen tekijän perusteella,
  2. ’käsittelyllä’ toimintoa tai toimintoja, joita kohdistetaan henkilötietoihin tai henkilötietoja sisältäviin tietojoukkoihin joko automaattista tietojenkäsittelyä käyttäen tai manuaalisesti, kuten tietojen keräämistä, tallentamista, järjestämistä, jäsentämistä, säilyttämistä, muokkaamista tai muuttamista, hakua, kyselyä, käyttöä, tietojen luovuttamista siirtämällä, levittämällä tai asettamalla ne muutoin saataville, tietojen yhteensovittamista tai yhdistämistä, rajoittamista, poistamista tai tuhoamista ( - - ).

Tietosuoja-asetuksen 5 artikla koskee henkilötietojen käsittelyä koskevia periaatteita. Artiklan 1 kohdan mukaan henkilötietojen suhteen on noudatettava muun ohella seuraavia vaatimuksia:

  1. niitä on käsiteltävä lainmukaisesti, asianmukaisesti ja rekisteröidyn kannalta läpinäkyvästi ("lainmukaisuus, kohtuullisuus ja läpinäkyvyys");
  2. ne on kerättävä tiettyä, nimenomaista ja laillista tarkoitusta varten, eikä niitä saa käsitellä myöhemmin näiden tarkoitusten kanssa yhteensopimattomalla tavalla; myöhempää käsittelyä yleisen edun mukaisia arkistointitarkoituksia taikka tieteellisiä tai historiallisia tutkimustarkoituksia tai tilastollisia tarkoituksia varten ei katsota 89 artiklan 1 kohdan mukaisesti yhteensopimattomaksi alkuperäisten tarkoitusten kanssa ("käyttötarkoitussidonnaisuus");
  3. henkilötietojen on oltava asianmukaisia ja olennaisia ja rajoitettuja siihen, mikä on tarpeellista suhteessa niihin tarkoituksiin, joita varten niitä käsitellään ("tietojen minimointi"); ( - - )

Tietosuoja-asetuksen 6 artikla koskee käsittelyn lainmukaisuutta. Artiklan 1 kohdan e alakohdan mukaan käsittely on lainmukaista muun ohella silloin kun seuraava edellytys täyttyy:

  1. käsittely on tarpeen yleistä etua koskevan tehtävän suorittamiseksi tai rekisterinpitäjälle kuuluvan julkisen vallan käyttämiseksi

Saman artiklan 3 kohdan mukaan edellä olevan 1 kohdan c ja e alakohdassa tarkoitetun käsittelyn perustasta on säädettävä joko

  1. unionin oikeudessa; tai
  2. rekisterinpitäjään sovellettavassa jäsenvaltion lainsäädännössä.

Käsittelyn tarkoitus määritellään kyseisessä käsittelyn oikeusperusteessa tai, 1 kohdan e alakohdassa tarkoitetussa käsittelyssä, sen on oltava tarpeen yleistä etua koskevan tehtävän suorittamiseksi tai rekisterinpitäjälle kuuluvan julkisen vallan käyttämiseksi. Kyseinen käsittelyn oikeusperuste voi sisältää erityisiä säännöksiä, joilla mukautetaan tämän asetuksen sääntöjen soveltamista, muun muassa: yleisiä edellytyksiä, jotka koskevat rekisterinpitäjän suorittaman tietojenkäsittelyn lainmukaisuutta; käsiteltävien tietojen tyyppiä; asianomaisia rekisteröityjä, yhteisöjä joille ja tarkoituksia joihin henkilötietoja voidaan luovuttaa; käyttö-tarkoitussidonnaisuutta; säilytysaikoja; sekä käsittelytoimia ja -menettelyjä, mukaan lukien laillisen ja asianmukaisen tietojenkäsittelyn varmistamiseen tarkoitetut toimenpiteet, kuten toimenpiteet muita IX luvussa esitettyjä erityisiä tietojenkäsittelytilanteita varten. Unionin oikeuden tai jäsenvaltion lainsäädännön on täytettävä yleisen edun mukainen tavoite ja oltava oikeasuhteinen sillä tavoiteltuun oikeutettuun päämäärään nähden.

Tietosuojalain 4 §:n 2 kohdan mukaan henkilötietoja saa käsitellä tietosuoja-asetuksen 6 artiklan 1 kohdan e alakohdan mukaisesti, jos käsittely on tarpeen ja oikeasuhtaista viranomaisen toiminnassa yleisen edun mukaisen tehtävän suorittamiseksi.

Tietosuojalaki on tullut voimaan 1.1.2019.

3.3. Oikeudellinen arviointi ja johtopäätökset

Tietosuoja-asetusta on tullut soveltaa kaikissa jäsenvaltioissa 25.5.2018 lukien. Nimettyjä pankin asiakkaita koskevien tietojen kerääminen vertailutietotarkastusta varten merkitsee tietosuoja-asetuksen alaan kuuluvaa tietojen käsittelyä. Mainitun ajankohdan jälkeen kehotuspäätöksen täytäntöönpano valituksenalaisin osin on ollut lain mukaan mahdollista vain tietosuoja-asetuksen asettamissa rajoissa.

Vertailutietotarkastusta koskevaa verotusmenettelystä annetun lain 21 §:ää ei ole tietosuoja-asetuksen voimaantulon yhteydessä muutettu. Tietojen käsittelyn lainmukaisuutta koskevan tietosuoja-asetuksen 6 artiklan 3 kohdan toisesta alakohdasta ilmenevällä tavalla jäsenvaltion lainsäädännön on täytettävä yleisen edun mukainen tavoite ja oltava oikeasuhteinen sillä tavoiteltuun oikeutettuun päämäärään nähden. Koska oikeasuhteisuuden vaatimus ei nimenomaisesti ilmene verotusmenettelystä annetun lain 21 §:stä, säännöstä tietosuoja-asetuksen voimaantulon jälkeen sovellettaessa on otettava huomioon myös tietosuojalain 4 §:n 2 kohta. Vain näin tulkiten kansallinen lainsäädäntömme tältä osin täyttää tietosuoja-asetuksesta lainmukaisuudelle ja tämän edellyttämälle oikeasuhteisuudelle johtuvat vaatimukset. Tietosuoja-asetus on tältä osin yksiselitteinen.

Korkein hallinto-oikeus toteaa, että nyt kysymyksessä olevan oikeasuhteisuuden arvioimisessa on otettava huomioon yhtäältä julkisen vallan käyttämiseen kuuluva verovalvonnan turvaaminen tietojen keräämistä puoltavana tekijänä ja toisaalta tietosuoja-asetuksen 5 artiklan 1 kohdan a – c alakohdista ilmenevät kohtuullisuuden ja läpinäkyvyyden, käyttötarkoitussidonnaisuuden sekä tietojen minimoinnin vaatimukset tietojen keräämistä rajoittavina seikkoina.

Valituksenalaiseen päätökseen ei sisälly arviointia päätöksen vaikutuksista silloisen henkilötietolainsäädännön tavoitteiden kannalta.

Tietosuoja-asetuksen johdanto-osa ei kuulu sovellettaviin säännöksiin, mutta siinä on ilmaistu niitä tavoitteita ja päämääriä, joihin asetuksen eri artikloilla on pyritty. Kun otetaan huomioon johdanto-osan kohta 31, viranomaisen tietopyynnön ei ole yleensä katsottava täyttävän oikeasuhteisuuden vaatimusta silloin, kun tietopyyntö koskee kokonaista rekisteriä.

Korkein hallinto-oikeus toteaa, että valituksenalainen kehotuspäätös on muun ohella kattanut listauksen pankin kaikista asiakkaista 31.12.2012 ajankohdan mukaan ja tietyt kutakin asiakasta koskevat tiedot. Tietopyyntöä ei ole tältä osin pyrittykään rajaamaan sellaisiin asiakkaisiin, joita koskevien tietojen voidaan olettaa olevan verovalvonnan toteuttamiseksi tarpeellisia. Vaikka tietopyyntö ei ole ulottunut kaikkiin tietueisiin, joita pankin asiakasrekisteriin on eri asiakkaista merkitty, tietopyynnön toteuttaminen on vaikutuksiltaan rinnastettavissa kokonaisen asiakasrekisterin luovuttamiseen.

Korkeimman hallinto-oikeuden toimivaltaan ei kuulu ensiasteena arvioida, miten kohdennettuna nyt kysymyksessä olevan kaltainen tietosuojapyyntö voidaan tietosuoja-asetuksen voimaantulon jälkeen toteuttaa. Kun joka tapauksessa on selvää, että tietopyynnön toteuttamiselle tällaisenaan on tietosuoja-asetuksesta ja tietosuojalain 4 §:n 2 kohdasta johtuva este, valituksenalainen Verohallinnon kehotuspäätös on kumottava siitä riippumatta, miten sen lainmukaisuutta päätöksentekoajankohdan mukaan olisi arvioitava.

Asian ovat ratkaisseet oikeusneuvokset Irma Telivuo, Mikko Pikkujämsä, Janne Aer, Antti Pekkala ja Tero Leskinen. Asian esittelijä Anu Punavaara.

 
Julkaistu 30.1.2020