KHO 1568/1/09 – Vahva tunnistus välttämätöntä?
Sähköisen verkkoliiketoiminnan yksi keskeisiä kysymyksiä on, millä tarkkuudella asiakkaat tulisi tunnistaa. Suomessa käytetään verkkokaupassa laajasti TUPAS:ta, mutta mobiilipuolella on tähän asti riittänyt automaattisesti saatava tieto liittymän omistajasta ja mahdollisesti pari verifioivaa tietoa (esimerkiksi paikkan pitävä osoitetieto tms.) “Suuressa maailmassa” luottokorttinumero + nimi ja osoite tai sitten PayPal-tunnukset riittävät yleensä transaktion läpiviemiseen. Tuoreen KHO:sta tulleen päätöksen jälkeen kotimainen tilanne on todennäköisesti muuttumassa – päätöksen perusteella vahva tunnistus olisi välttämätöntä.
Päätöksen taustalla on tietosuojavaltuutetun ja erään pikaluottoyrityksen välinen riita siitä, mikä tunnistamisen taso on riittävä lainojen myöntämisessä. Yrityksen käyttämässä järjestelmässä tunnistus perustui sen varmentamiseen, että lainanhakijan verkkohakemuksessaan ilmoittamat henkilötiedot täsmäsivät sen puhelinliittymän haltijan vastaaviin tietoihin, jonka puhelinnumerosta lainahakemus on tehty. Jos nämä tiedot ovat samat, hakijan oletettiin olevan se, joka lainanhaun hetkellä on puhelimen liittymän haltija. Tietosuojavaltuutettu vei asian tietosuojalautakuntaan:
“Päätös 1/2008
Tietosuojalautakunta määräsi tekstiviestin välityksellä pikaluottoja myöntävän yrityksen välittömästi muuttamaan luotonhakijoiden tunnistamiseen liittyvän toimintatapansa sellaiseksi, että voidaan varmistaa, että väärää henkilöä ei rekisteröidä luotonhakijaksi”
Yritys valitti asiasta hallinto-oikeuteen, joka hyväksyi tietosuojalautakunnan päätöksen. Hallinto-oikeuden mukaan ensinnäkin:
“…Hallinto-oikeus katsoo, että tällainen menettely on vastoin henkilötietolain 5 §:ssä säädettyä huolellisuusvelvoitetta ja 9 §:n 2 momentissa säädettyä virheettömyysvelvoitetta. Sanotunlaisen menettelyn ei tällöin myöskään voida katsoa täyttävän henkilötietojen käsittelyn suunnittelua koskevia henkilötietolain 6 §:ssä säädettyjä edellytyksiä. Näin rekisteröidyn yksityisyyden suoja ei ole henkilötietolain edellyttämin tavoin turvattu. Koska X Oy:n lainanhakijan tunnistamisessa käyttämä toimintatapa on vastoin edellä sanottuja säännöksiä, ei sillä kysymyksellä, käyttääkö yhtiö luottohakemuksia koskevassa päätöksenteossaan tietosuojalain 31 §:ssä tarkoitettua automatisoitua päätöksentekoa vai ei, ole ratkaisevaa merkitystä asian lopputuloksen kannalta. Merkitystä ei ole myöskään sillä, onko menettelytapa aiheuttanut käytännössä ongelmia.”
Hallinto-oikeus ei myöskään lämmennyt yrityksen argumenteille, jonka mukaan tietosuojalautavaltuutettu tai tietosuojalautakunta eivät ole antaneet riiitävää ohjeistusta siitä, miten tunnistus tulisi sitten hoitaa. Hallinto-oikeus lopettaa päätöksensä:
“Päätöksessä on kysymys X Oy:n käyttämän luotonhakijoiden tunnistamistavan henkilötietolain mukaisuudesta, eikä sillä seikalla, että myös muiden toimijoiden toiminnassa ja muilla toimialoilla saattaa olla riski väärien henkilöiden rekisteröimisestä luotonhakijoiksi, ole merkitystä X Oy:n käyttämän tunnistamistavan lainmukaisuuden arvioinnissa. Hyväksyttävät luotonhakijan tunnistamismenettelyt voivat vaihdella palvelualojen mukaan…”
Yritys valitti päätöksestä vielä KHO:een, jonka päätös asiasta oli ytimekäs (eikä löydy kuin täältä):
Korkeimman hallinto-oikeuden ratkaisu
1. Korkein hallinto-oikeus on tutkinut asian. Valitus hylätään. Hallinto-oikeuden päätöstä ei muuteta.
2. Yhtiön oikeudenkäyntikulujen korvaamista koskeva vaatimus hylätään.
Perustelut
1. Kun otetaan huomioon edellä ilmenevät hallinto-oikeuden päätöksen perustelut ja siinä mainitut oikeusohjeet sekä korkeimmassa hallinto-oikeudessa esitetyt vaatimukset ja asiassa saatu selvitys, hallinto-oikeuden päätöksen muuttamiseen ei ole perusteita.
2. Asian näin päättyessä ja kun otetaan huomioon hallintolainkäyttölain 74 §, yhtiölle ei ole määrättävä maksettavaksi korvausta oikeudenkäyntikuluista korkeimmassa hallinto-oikeudessa.
Toisin sanoen, henkilörekisterilaki näyttäisi siis nyt edellyttävän, että henkilö voidaan tunnistaa luotettavasti, mikä tarkoittaa “vahvaa tunnistamista”. Tässä tapauksessa päätös kohdistui toki pikavippiyritykseen. Viitatuissa pykälissä ei ole kuitenkaan mitään, mikä asettaisi ko. toimialan erityisasemaan. Päinvastoin, ainoa looginen tapa lukea päätöstä on, että ainakaan vähänkään merkittävämmissä transaktioissa vahva tunnistaminen on välttämätöntä hyvän rekisteritavan yms. noudattamiseksi kautta linjan. (Vastaavaa on vaadittu muuten Valtion elokuvatarkastamon toimesta verkkovideoiden osalta (tosin ikärajakontrollin toteuttamiseksi.))
Entäs sitten? Eikö vahva tunnistaminen ole hyvä idea? Valitettavasti useimmissa tapauksessa ratkaisu on ensinnäkin liian kallis suhteessa siitä saatavaan hyötyyn. Toiseksi varsinkin mobiiliympäristössä se on usein toivottoman hankalaa – tunnuskoodien kaivaminen esiin autoa pysäköidessä tai limsatölkkiä ostaessa ei vain toimi. Lisäksi ratkaisu asettaa suomalaiset verkkotoimijat epäreiluun kilpailuasemaan ulkomaisten toimijoiden kanssa, joiden toiminnassa vastaavaa ylimitoitettua byrokratiaa ei olisi. Järkevämpi ja melko yksinkertainen lähestyminen voisi olla, että näyttövelvollisuus transaktion suorittaneesta henkilöstä olisi alussa yksiselitteisesti yrityksellä, mikä pakottaisi intressitason huomioivan tunnistamistason hakemisen ihan markkinalähtöisesti?
