Lausunto TIETOSUOJAVALTUUTETUN TOIMISTO Dnro 3403/41/2014 25.2.2015 Lähetysosoi ttee t: Salon jäteh uoltolauta kunta Jätehuoltoasiamies Satu Ojala PL 77 24101 Salo SALON KAUPUNKI 26.02.2015 " l a to oy.o satu.ojala@salo.fi Viitaten lausuntopyyntöönne 23.12.2014 saapunut 31.12.2014 Tietojen luovuttamisesta jätehuoltolautakunnan rekisteristä Asia Olette pyytänyt tietosuojavaltuutetun lausuntoa siitä, voidaanko jätteenkuljetusalalla toimiville kuljetusyrittäjille luovuttaa osoite- ja yhteyshenkilötietoja niistä kiinteistöistä, joiden haltijat eivät ole sopineet asumisperäisen tai siihen rinnastettavan jätteen kuljettamisesta kunnan osoittamaan vastaanottopaikkaan. Kerrotte lausuntopyynnössänne, että jätelain mukainen jätehuoltoviranomainen on Salon jätehuoltolautakunta, joka huolehtii jät elaissa kunnalle säädetyistä jätehuollon viranomaistehtävistä (jätelaki 23 ). Niin ikään kerrotte, että Salon jätehuoltolautakunta on päättänyt, että kiinteistöittäinen jätteenkuljetus järjestetään Salossa, Paimiossa ja Sauvossa siten, että kiinteistön haltija sopii siitä jätteen kuljettajan kanssa. Päätöksestä on valitettu ja Turun ha llinto- oikeus on kumonnut pä ätöksen. Hallin to-oikeus on katsonut, ettei sopimusperusteiseen kuljetusjär jestelmään ole esitetty laissa mainittuja perusteita. Asia on korkei mman h allint o-oikeuden t utkitt avana. Kerrotte myös, että Salossa, Paimiossa ja Sauvossa on niissä tapauksissa, joissa kiinteistönhaltijat eivät ole sopineet jätteenkuljetuksesta kuljetusyrittäjän kanssa, kuljetukset on hoidettu siten, että jätteenkuljetukset on kunnan omistaman jäteyhtiön toimesta kilpailutettu (paikkaava järjestelmä). Kerrotte, että tästä järjestelmästä on luovuttu tehtäessä uuden jätelain mukainen päätös kuljetusten järjestämisestä. Lopuksi kerrotte, että Salon Jätehuolto Oy on jätehuoltokunnalle 29.10.2014 saapuneessa kirjeessä pyytänyt, että sille luovutetaan tiedot Salon, Paimion ja Sauvon alueiden ns. paikkaavaan jätteenkuljetusjärjestelmään liitetyistä kiinteistöistä (kiinteistöjen osoitteet ja tiedot yhteyshenkilöistä). Julkisuuslain mukainen tietopyyntö Kysymyksen tietojen luovutuksesta julkisuuslain (laki viranomaisten toiminnan
TIETOSUOJAVALTUUTETUN TOIMISTO 2/5 Käsittelyn tarkoitus julkisuudesta 621/1999) nojalla ratkaisee asianomainen viranomainen ja tästä päätöksestä tulee voida valittaa (hallintolain mukainen valituskelpoinen päätös). Viime kädessä asian ratkaisee siis tuomioistuin. Tietosuojavaltuutettu ei ole toimivaltainen ratkaisemaan toisen viranomaisen puolesta, tuleeko tietoja luovuttaa julkisuuslain nojalla. Tietosuojavaltuutettu kuitenkin ohjaa, neuvoo ja valvoo henkilötietojen käsittelyä. Tässä lausunnossa arvioidaan tilannetta eräiden tietojen luovutukseen liittyvien keskeisten henkilötietolain säännösten kannalta. Lisätietoja tietojen luovuttamisesta viranomaisen henkilörekisteristä voi lukea liitteenä olevasta toimistomme oppaassa. Julkisuuslain 16.3 :n mukaan viranomaisen henkilörekisteristä saa antaa henkilötietoja sisältävän kopion tai tulosteen tai sen tiedot sähköisessä muodossa, jollei laissa ole toisin erikseen säädetty, jos luovutuksensaajalla on henkilötietojen suojaa koskevien säännösten mukaan oikeus tallettaa ja käyttää sellaisia henkilötietoja. Tietoja luovuttavan viranomaisen näkökulmasta kyse on mm. siitä, onko tiedot vastaanottavalla taholla oikeus käsitellä niitä. Jos tiedot luovutettaisiin Salon Jätehuolto Oy:lle, tulisi yrityksestä henkilötietolain tarkoittama rekisterinpitäjä, jolloin sillä tulisi olla henkilötietolaissa säädetty peruste käsitellä henkilötietoja. Jätelain (646/2011) 143 :ssä säädetään, että kunnan jätehuoltoviranomainen ylläpitää rekisteriä, johon merkitään 39 :n 2 momentissa tarkoitetut tiedot. Rekisteriin merkityt henkilötiedot säilytetään viisi vuotta rekisteriin merkitsemisen jälkeen. Rekisteriin tallennettujen henkilö- ja muiden tietojen salassapidosta ja luovuttamisesta säädetään viranomaisten toiminnan julkisuudesta annetussa laissa sekä henkilötietojen muusta käsittelystä henkilötietolaissa. Asiassa näyttäisi olevan epäselvää, mitä tarkoitusta varten tiedot oltaisiin luovuttamassa. Lähettämänne pöytäkirjan otteen mukaan asiassa on todettu, että "Asiaa perustellaan tietosuojavaltuutetun kannanotolla. Kannanottoa on pyydetty tietojen luovuttamisesta suoramarkkinointitarkoituksiin, mikä ei vastaa nyt käsittelyssä oleva tilannetta." Huolimatta siitä, että suoramarkkinointitarkoitusten ei katsota koskevan käsillä olevaa tilannetta, on hakemuksessa tietojen luovuttamiseksi toissijaisesti perusteltu henkilötietolain 19 :llä, jossa säädetään henkilötietojen keräämisestä ja tallettamisesta suoramainontaa, etämyyntiä tai muuhun suoramarkkinointia, mielipide- tai markkinatutkimusta taikka muita näihin rinnastettavia osoitteellisia lähetyksiä varten. suoramarkkinointia koskevan 19 :n perusteella. Jätehuoltoasiamies on tulkinnut hakemuksen koskevan suoramarkkinointiaja vedonnut Rouskis Oy:n jätehuoltotietojen luovutusta koskevaan tietosuojavaltuutetun lausuntoon. Henkilötietolain 19 :n 2 momentin perusteella Salon Jätehuolto Oy:n pyytämät tiedot pitää luovuttaa ellei rekisteröity ole erikseen kieltänyt tietojen luovutusta. Tässä tapauksessa ns. paikkaavaan jätekul etusjärjestelmään kuuluvat kiinteistön haltijat eivät liene kieltäneet tietojen luovutustajätekuljetusyrityksille. Kun kyse on kiinteistöjen haltijoiden lakisääteisestä velvollisuudesta voidaan tulkita heidän myös hiljaisesti hyväksyneen tietoluovutuksen. Koska Rouskis Oy ei ole viranomainen 00521 Helsinki 6. kerros http:// www. tietosuoja. fi
TIETOSUOJAVALTUUTETUN TOIMISTO 3/5 pyydetyt henkilötiedot voidaan luovuttaa. Salon jätehuolto Oy:n pyyntöön tulee Tältä osin ohjaan kiinnittämään huomiota julkisuuslain 16.3 :ään, jonka mukaan henkilötietoja saa kuitenkin luovuttaa suoramarkkinointia ja mielipide- tai markkinatutkimusta varten vain, jos niin erikseen säädetään tai jos rekisteröity on antanut siihen suostumuksensa. Ilmeisesti Salon Jätehuolto Oy pyytää tietoja julkisuuslain nojalla jätehuoltolautakunnan jäterekisteristä ja samalla vaihtoehtoisesti myös Rouskis Oy:ltä henkilötietolain 19 :n perusteella. Siinä tapauksessa, että tietoja pyydetään kuntien omistamalta jätehuoltoyhtiö Rouskis Oy:ltä, tulee arvioida, mikä taho henkilörekisterille, johon tietopyyntö kohdistuu, on rekisterinpitäjä. Rekisterinpitäjällä tarkoitetaan henkilötietolaissa yhtä tai useampaa henkilöä, yhteisöä, laitosta tai säätiötä, jonka käyttöä varten henkilörekisteri perustetaan ja jolla on oikeus määrätä henkilörekisterin käytöstä tai jonka tehtäväksi rekisterinpito on lailla säädetty. Jätelain 143 :n mukaan kunnan jätehuoltoviranomainen (tässä jätehuoltolautakunta) ylläpitää rekisteriä, johon merkitään 39 :n 2 momentissa tarkoitetut tiedot. Hallintooikeudet ovat arvioineet kunnan jätehuoltoon liittyvän henkilötietojen käsittelyn ulkoistamista ratkaisuissaan mm. jätelain ja perustuslain näkökulmista. Vaikka henkilötietojen käsittely olisi ulkoistettu, ei rekisterinpitäjyyttä eikä rekisterinpitäjän rooliin liittyviä vastuita ole mahdollista ulkoistaa. Todettakoon myös, ettei henkilötietolain 19 velvoita yksityistä rekisterinpitäjää luovuttamaan tietoja suoramarkkinointiin tai muihinkaan pykälässä säädettyihin käyttötarkoituksiin, vaan sen sanamuodon mukaan ko. käyttötarkoituksiin saa kerätä ja tallettaa henkilötietoja säädetyin edellytyksin. Tällaisesta tilanteessa ei käsitykseni mukaan ole tässä kuitenkaan kyse. Käsittelyyn oikeuttava peruste Vaikuttaa siltä, että asiassa ei ole yksiselitteistä myöskään, millä perusteella Salon Jätehuolto Oy katsoisi käsittelevänsä rekisteröityjen henkilötietoja. Kuten lausuntopyynnössäkin on todettu, henkilötietojen käsittelyn yleisistä edellytyksistä säädetään henkilötietolain 8 :ssä. Salon Jätehuolto Oy on hakemuksessaan tietojen luovuttamiseksi katsonut mm., että Henkilötietolain 8 1 momentin 5-kohdan mukaan tiedot on luovutettava, jos rekisteröidyllä on asiakas- tai palvelussuhteen, jäsenyyden tai muun niihin verrattavan suhteen vuoksi asiallinen yhteys rekisterinpitäjän toimintaan. Edellä mainittu 8 :n 1 momentin 5-kohdnan asiallinen yhteys syntyyasiakas- tai palvelusuhteessa sekä jäsenyydessä tai muussa näihin verrattavassa tilanteessa. Säännöksen lähtökohtana on, että tiedot kerätään rekisteröidyltä silloin, kun asiallinen yhteys rekisterinpitäjän toimintaan syntyy, jolloin tietojen käsittelylle on olemassa rekisteröidyn aktiivisten toimenpiteiden seurauksena hiljainen suostumus. Säännös sallii henkilötietojen käsittelyn, jos se on tarpeen rekisterinpitäjän tai tiedot saavan sivullisen oikeutetun intressin toteuttamiseksi. Tällainen intressi on esimerkiksi jäsenyyteen liittyvien tai lakisääteisten velvoitteiden hoitaminen. Lisäksi PL 800 Ratapihantie 9 029 56 66700 tietosuoja@om.fi Neuv onta 029 56 16670 ma-to 9:00-11:00 & 13: 00-15:00 pe 9:00-12:00
0 TIETOSUOJAVALTUUTETUN TOIMISTO 4/5 henkilötietojen käsittely on sallittua henkilötietolain 8 :n 1 momentin 4-kohdan mukaan, jos käsittelystä säädetään laissa tai jos käsittely johtuu rekisterinpitäjälle (myös jätehuoltolautakunnalle) laissa säädetystä tai sen nojalla määrätystä tehtävästä tai velvoitteesta (tässä velvollisuus huolehtia kiinteistöittäisen jätekuljetusjärjestelmän toteutumisesta). Näkemykseni mukaan Salon Jätehuolto Oy:n kaltaisen yksityisen toimijan peruste käsitellä henkilötietoja voisi olla henkilötietolain 8 :n 1 mom. 1, 7 tai 9 kohta. On kiistatonta, että jätehuoltolautakunnalla on peruste käsitellä henkilötietoja (henkilötietolain 8.1,4 ). Henkilötietolain 8.1,4:ssä tarkoitettu peruste koskee nimenomaan rekisterinpitäjää. Peruste ei ole johdettavissa Salon Jätehuolto Oy:hyn, ellei kyse ole henkilötietojen käsittelyn ulkoistamisesta siten kuin henkilötietolain 8.1,7 :ssä säädetään. Hallinto-oikeudet ovat arvioineet ulkoistamiskysymyksiin liittyvää problematiikkaa jätelain voimaantulon jälkeen. Ulkoistamisesta ei tässä tapauksessa saamieni tietojen mukaan ole kuitenkaan kyse. Käsitykseni mukaan kyse on kiinteistöistä, joiden haltijat eivät ole sopineet asumisperäisen tai siihen rinnastettavan jätteen kuljettamisesta kunnan osoittamaan vastaanottopaikkaan. Saamieni tietojen mukaan henkilöt, joiden tietoja Salon Jätehuolto Oy pyytää nimenomaan eivät ole sopineet jätteen kuljettamisesta. Näin ollen rekisteröidyt saamieni tietojeni mukaan eivät ole antaneet suostumustaan, kyse ei voi olla rekisteröidyn toimeksiannosta eivätkä rekisteröidyt ole myöskään hakeutuneet Salon Jätehuolto Oy:n asiakkaiksi. Näin ollen henkilötietolain 8 :n 1 mom. 1, 2 eikä 5 kohta eivät käsitykseni mukaan tule perusteena kyseeseen. Yhteysvaatimus määrittelee siis sen, kenestä rekisterinpitäjä saa kerätä henkilötietoja henkilörekisteriin. Hallituksen esityksessä henkilötietolain edeltäjä henkilörekisterilaiksi (HE 49/1986 vp) on todettu yhteysvaatimuksesta mm. seuraavaa Yhteysvaatimus on keskeisimpiä keinoja luoda hyvään rekisteritapaan perustuva yhtenäinen käytäntö rekisterinpidossa. Henkilörekisterin pitäminen on sen mukaisesti sallittua vain, jos se perustuu rekisterinpitäjän ja rekisteröidyn molemminpuoliseen yhteydenpitoon ja jos rekisteriä käytetään tämän yhteydenpidon hallinnointiin. Lakiehdotuksessa on esimerkkeinä tällaisesta yhteydenpidosta mainittu asiakas- ja palvelussuhde sekä jäsenyys. Muista lainkohdassa tarkoitetuista suhteista voidaan esimerkkeinä mainita palvelusten käyttäminen (hotelli - hotellivieras; kurssin järjestäjä - kurssin osanottaja), oppilassuhde (koulu - oppilas) ja potilassuhde (lääkäri - potilas). Rekisteröidyn suostumus oikeuttaa henkilötietojen tallettamiseen henkilörekisteriin, vaikkei lainkohdan tarkoittamaa asiakas- ja siihen verrattavaa suhdetta olisi olemassakaan. Ha kem uksessa tietojen luovut tam isesta on viitattu m yös rekisteröidyn "hilja iseen suostumukseen" tulkita heidän myös hiljaisesti hyväksyneen tietoluovutuksen. '). Henkilöt ietolaissa on edell ytet ty, että rekisteröidyn suostumus on vapaaehtoinen, tietoinen ja yksilöity tahdon ilmaisu, jolla rekist eröity h yvä k syy henki löti etojensa käsittelyn. Reki st er öi dyn tulee siis tietää, minkälai sten ti etojen l uovutta mist a suostumus koskee. Rekist erin pitä jän, joka suost umuksen olemassaoloon vetoaa, tulee voida näyttää suostumuksen olemassaolo. Käsitykseni mukaan alueella on ollut käytössä ns. paikkaava jätteenkuljetusjärjestelmä, joka on hoitanut niiden kiinteistönhaltijoiden jätteet, jotka eivät ole sopimusta tehneet. Saamieni 00521 Helsinki 6. kerros http:// www. tietosuoja. fi
Yhteenveto TIETOSUOJAVALTUUTETUN TOIMISTO 5/5 tietojen mukaan ns. paikkaavasta järjestelmästä on nyttemmin kuitenkin luovuttu. Niin ikään käsitykseni mukaan alueella toimii useita yksityisiä jätehuollon toimijoita. Olen arvioinut tietojen luovuttamista viranomaisen henkilörekisteristä toimivaltani rajoissa, pääosin käsittelyyn oikeuttavien perusteiden kannalta. Päätöksen tietojen luovuttamisesta julkisuuslain nojalla tekee asianomainen viranomainen ja päätöksestä tulee voida valittaa hallinto-oikeuteen. Tähän tietosuojavaltuutetun ohjaukseen ei voi hakea valittamalla muutosta. Lisätietoja tietosuojasta ja tietosuojavaltuutetun toimivallasta saa verkkosivuiltamme www.tietosuoja.fi. Henkilötietolakiin ja muuhun ajantasaiseen lainsäädäntöön voi perehtyä osoitteessa www.finlex.fi. Lisätietoja saatte tarvittaessa puhelimitse allekirjoittaneelta esittelijältä, numerosta 029-5666733. Ti eto suo j avaltuutettu Ylitarkastaja Katja Ahola Liitteet Tiet osuojavalt uut etun toimi ston opas: Henkilötietojen luovuttaminen viranomaisten henkilörekistereistä Tietosuojavaltuutetun toimivalta Henkilötietolain (523/1999) 38 :n 1 momentin mukaan tietosuojavaltuutettu antaa henkilötietojen käsittelyä koskevaa ohjausta ja neuvontaa sekä valvoo henkilötietojen käsittelyä tämän lain tavoitteiden toteuttamiseksi ja käyttää päätösvaltaa siten kuin tässä laissa säädetään. Henkilötietolain 40 :n 1 momentin mukaan tietosuojavaltuutetun on edistettävä hyvää tietojenkäsittelytapaa sekä ohjein ja neuvoin pyrittävä siihen, ettei lainvastaista menettelyä jatketa tai uusita. Tarvittaessa tietosuojavaltuutetun on saatettava asia tietosuojalautakunnan päätettäväksi taikka ilmoitettava syytteeseen panoa varten. Henkilötietolain 40 :n 2 momentin mukaan tietosuojavaltuutetun on ratkaistava asia, jonka rekisteröity on saattanut 28 ja 29 :n nojalla hänen käsiteltäväkseen. Tietosuojavaltuutettu voi antaa rekisterinpitäjälle määräyksen rekisteröidyn tarkastusoikeuden toteuttamisesta tai tiedon korjaamisesta. Tietosuojavaltuutettu valvoo yksityisyyden suojasta työelämässä annetun lain (työelämän tietosuojalaki) (759/2004) 22 :n mukaan lain noudattamista yhdessä työsuojeluviranomaisten kanssa. Neuv onta 029 56 16670 ma-to 9:00-11:00 & 13: 00-15:00 pe 9:00-12:00