Vahingonkorvausvaatimus vapaaehtoisen luottokiellon ottamisesta

Hallintopäällikkö päätti hylätä ********** (myöhemmin hakija) vahingonkorvausvaatimuksen vapaaehtoisen luottokiellon ottamisesta aiheutuneista kustannuksista.

Toimivalta

Helsingin kaupungin hallintosäännön 14. luku koskee toimialojen johtavien viranhaltijoiden yleistä toimivaltaa. Luvun 1 §:n 2 momentin 3 kohdan mukaan toimialajohtaja päättää tai hyväksyy perusteet ja rajat, joiden mukaan viranhaltija päättää vahingonkorvauksesta silloin, kun kaupunki on toimialaa koskevissa asioissa korvausvelvollinen tai vahingon korvaaminen katsotaan kohtuulliseksi.

Kasvatuksen ja koulutuksen toimialajohtaja on 16.6.2020 (§ 81) päätöksellään delegoinut asiaan liittyvää toimivaltaa hallintopäällikölle. Päätöksen mukaan hallintopäällikkö päättää vahingonkovauksesta silloin, kun kaupunki on toimialaa koskevissa asioissa korvausvelvollinen tai vahingon korvaaminen katsotaan kohtuulliseksi, Stadin ammatti- ja aikuisopisto pois lukien, ja haettava määrä on enintään 5 000 euroa.

Hakemus

Hakija on esittänyt 22.5.2024 Helsingin kaupungin kirjaamoon saapuneessa vahingonkorvausvaatimuksessa 29,85 euron suuruisen korvausvaatimuksen. Korvausvaatimus on koskenut hakijan ja hänen lapsensa omaehtoisen luottokiellon hankkimisesta aiheutuneita kustannuksia. Hakija on hankkinut omaehtoiset luottokiellot Suomen Asiakastieto Oy:stä sekä Dun & Bradstreet Finland Oy:stä varotoimena kasvatuksen ja koulutuksen toimialalla 30.4.2024 tapahtuneen tietomurron vuoksi. Hakijan mukaan korvattavaksi haetut kustannukset ovat olleet tarpeellisia tietomurron seurauksena mahdollisesti vuotaneiden henkilötietojen suojaamiseksi.

Asiaa koskeva lainsäädäntö

Henkilötietojen käsittelyyn liittyvän vahingonkorvausvaatimuksen käsittelyyn sovelletaan ensisijaisesti yleistä tietosuoja-asetusta ja täydentävästi vahingonkorvauslakia.

Tietosuoja-asetuksen 82 artiklan 1 kohdan mukaan, jos henkilölle aiheutuu tämän asetuksen rikkomisesta aineellista tai aineetonta vahinkoa, hänellä on oikeus saada rekisterinpitäjältä tai henkilötietojen käsittelijältä korvaus aiheutuneesta vahingosta. Artiklan 2 kohdan mukaan kukin tietojenkäsittelyyn osallistunut rekisterinpitäjä on vastuussa vahingosta, joka on aiheutunut käsittelystä, jolla on rikottu tätä asetusta. Artiklan 3 kohdan mukaan rekisterinpitäjä tai henkilötietojen käsittelijä on vapautettava vastuusta 2 kohdan nojalla, jos se osoittaa, ettei se ole millään tavoin vastuussa vahingon aiheuttaneesta tapahtumasta.

Tietosuoja-asetuksen perustelukappaleen 146 mukaan vahingon käsite olisi tulkittava laajasti unionin tuomioistuimen oikeuskäytännön perusteella ja tavalla, jolla tietosuoja-asetuksen tavoitteet otetaan kaikilta osin huomioon. Rekisteröityjen olisi saatava täysi ja tosiasiallinen korvaus aiheutuneesta vahingosta.

Positiivisesta luottorekisteristä annetun lain 15.1 §:n mukaan positiiviseen luottorekisteriin talletetaan tieto luonnollisen henkilön ilmoittamasta määräaikaisesta tai toistaiseksi voimassa olevasta vapaaehtoisesta luottokiellosta. Lain 15.4 §:n mukaan positiiviseen luottorekisteriin talletetusta vapaaehtoisesta luottokiellosta saa antaa tiedon luottotietotoiminnan harjoittajalle kiellon tehneen luonnollisen henkilön suostumuksella. Lain 15.5 §:n mukaan luottokieltomerkinnän tekemisestä, poistamisesta tai muusta käsittelystä ei peritä maksua. Lain 34.2 §:n mukaan positiivisesta luottorekisteristä annetun lain 15 §:ää sovelletaan 1.4.2024 alkaen.

Asian ratkaisu

Yleisen tietosuoja-asetuksen 82 artiklan mukaisen vahingonkorvausvelvollisuuden muodostumisen edellytyksinä on tietosuoja-asetuksen rikkominen, luonnolliselle henkilölle aiheutunut vahinko sekä syy-yhteys asetuksen rikkomisen ja aiheutuneen vahingon välillä. Edellytykset ovat kumulatiivisia, ja niiden kaikkien tulee täyttyä vahingonkorvausvelvollisuuden syntymiseksi.

Helsingin kaupungin kasvatuksen ja koulutuksen toimialan Kasvatuksen ja koulutuksen tietomurto -informaatiosivuilla on viitattu sekä Kyberturvallisuuskeskuksen Neuvoja identiteettivarkauden tai tietovuodon uhrille -verkkosivuun että suomi.fi-sivuston tietovuoto-oppaaseen. Kummallakin sivustolla on luottokielto-osiossa viitattu positiivisen luottorekisterin tarjoamaan luottokieltoon. Maksulliset omaehtoista luottokieltoa tarjoavat yritykset on mainittu sivuilla erikseen. Sivuilla on lisäksi mainittu, että asiakkaan suostumuksella tieto positiiviseen luottorekisteriin tehdystä vapaaehtoisesta luottokiellosta välitetään myös maksullista palvelua tarjoaville yrityksille.

Positiivinen luottorekisteri on 1.4.2024 alkaen tarjonnut mahdollisuuden hakea ilmaisen vapaaehtoisen luottokiellon, jota koskeva tieto voidaan hakijan suostumuksella välittää myös maksullista luottokieltopalvelua tarjoaville yrityksille. Positiivisen luottorekisterin tarjoama vapaaehtoinen luottokielto on ollut haettavissa vahingonkorvausvaatimuksen tekemisen ajankohtana. Hakija on vaatinut korvausta sellaisen maksullisen palvelun käyttämisestä, jolle olisi ollut samansisältöinen ilmainen vaihtoehto.

Koska hakijan hankkimalle palvelulle on ollut samansisältöinen ilmainen vaihtoehto, ei kyse ole vahingon välttämiseksi tarpeellisesta kulusta. Hakija olisi voinut tehdä mahdollista vahinkoa rajoittavan toimenpiteen myös ilman, että siitä olisi aiheutunut hänelle kulua.

Koska korvattavaksi vaadittu kulu ei ole aiheutunut tietosuoja-asetuksen rikkomisesta aiheutuneesta vahingosta tai ole ollut tarpeen tällaisen vahingon välttämiseksi, sen ei voida katsoa olevan tietosuoja-asetuksen nojalla korvattava vahinko. Koska hakija ei hae korvausta sellaisesta kulusta, joka olisi tietosuoja-asetuksen nojalla vahinkona korvattava, Helsingin kaupunki ei ole asiassa vahingonkorvausvelvollinen.