Tietosuojavaltuutetun tutkinnassa ilmeni, että Verohallinto oli pyytänyt pankeilta tietoja kaikista Suomen rajat ylittävistä tilisiirroista vuosina 2015–2021. Tietopyynnöt kattoivat muun muassa ulkomaisissa kaupoissa ja verkkokaupoissa pankkikortilla maksetut ostokset.
Huomautuksen lisäksi tietosuojavaltuutettu määräsi Verohallinnon poistamaan tietosuoja-asetuksen vastaisesti käsitellyt henkilötiedot ja lopettamaan liian laajojen tietopyyntöjen esittämisen pankeille.
Verohallinto esitti tietopyyntöjä rajat ylittävistä tilisiirroista Suomessa toimiville pankeille. Rajat ylittävillä tilisiirroilla tarkoitetaan lähteviä ja saapuvia maksuja, joissa maksajan tai saajan pankki sijaitsee muualla kuin Suomessa.
Tietopyynnöt kattoivat myös tilin käyttöön liittyvillä maksukorteilla tehdyt rajat ylittävät maksut, kuten ulkomaan matkoilla tai ulkomaisissa verkkokaupoissa pankkikortilla maksetut ostokset.
Verohallinto pyysi pankkeja toimittamaan muun muassa maksun määrän, päivämäärän sekä asiakkaiden yhteystietoja. Tietoaineistot pyydettiin verovalvonnan tekemistä varten.
Verohallinto ei rajannut tietopyyntöjä esimerkiksi tilitapahtumien suuruuden perusteella. Esimerkiksi vuoden 2018 osalta kolme suurinta pankkien Verohallinnolle toimittamaa tietoaineistoa käsitti lähes 18 miljoonaa tilitapahtumaa.
Tietosuojavaltuutettu katsoo, että Verohallinto ei ole huomioinut riittävästi henkilötietojen käsittelyyn liittyviä riskejä. Kun käteisen rahan käytöstä on siirrytty yhä enemmän pankkitilin välityksellä tapahtuvaan maksuliikenteeseen, henkilön yksityiselämästä voi saada aiempaa yksityiskohtaisemman kuvan tilitapahtumien perusteella.
”Vaikka Verohallinnon päämäärä on ollut tärkeä, viranomaisen toimivalta on rajattava tarkasti ihmisten yksityisyyttä koskevissa asioissa”, tietosuojavaltuutettu Anu Talus toteaa tiedotteessa.
Henkilötietoja ei saa kerätä tai käsitellä laajemmin kuin on välttämätöntä käyttötarkoituksen eli tässä tapauksessa verovalvonnan toteutumiseksi.
Verohallinto on aineistot saatuaan rajannut tutkittavia tilitapahtumia tarkempien kriteerien perusteella. Tietosuojavaltuutettu katsoo, että Verohallinto olisi voinut rajata pyytämiään tietoja jo etukäteen.
Nyt annettu päätös koskee vain yksityishenkilöitä. Päätös ei ole vielä lainvoimainen. Siihen voi hakea muutosta valituksella hallinto-oikeuteen.
Yritystoiminnan vertailutietoja Verohallinto voi pyytää entiseen tapaan, eikä tietosuojavaltuutettu ole todennut vertailutietojen käyttöä verotarkastuksissa tietosuojalainsäädännön vastaiseksi.
Verohallinto kertoo, että uutta käytäntöä aletaan soveltaa välittömästi. Verohallinto pyytää jatkossa pankeilta yksityishenkilöitä koskevia vertailutietoaineistoja entistä kohdennetummalla rajauksella ja hävittää pankeilta aiemmin saamansa yksityishenkilöitä koskevat vertailutietoaineistot.
Minna Petäinen
