Oikeusministeriö  
 ministeriö 	
PL 25	
	
00023  VALTIONEUVOSTO
	
oikeusministerio@om.fi	
	
kirjeenne 24.4.2009  OM 23/41/2007 

Lausunto ehdotuksesta maksupalvelulaiksi  

Oikeusministeriö pyysi lausuntoa ehdotuksesta maksupalvelulaiksi, jolla pantaisiin täytäntöön maksupalveluista sisämarkkinoilla annetun direktiivin (2007/64/EY) III ja IV osaston säännökset. Lausuntona esitän kunnioittavasti seuraavan.

1. Suhde henkilötietolakiin

Ehdotuksen 86 §:n 1 momentissa on todettu, että henkilötietojen käsittelyyn maksupalvelutoiminnassa sovelletaan, mitä henkilötietolaissa säädetään. Perusteluissa todetaan, että kyse on luonteeltaan informatiivisesta säännöksestä ilman sen kumpia perusteluita siitä, mitä henkilötietojen käsittely tässä toiminnassa oikein tarkoittaa. Ehdotuksen 86 §:n 2-4 momentissa tarkoitettu rikostiedon käsittely ja henkilötietolain 13 §:n muutosehdotus näyttävät selviltä erityissäännöksiltä suhteessa henkilötietolakiin. 

Ehdotuksen suhde henkilötietolakiin näyttää kuitenkin edellä mainittuja yksityiskohtia moniulotteisemmalta. Ensinnäkin henkilötietoja käsitellään tyypillisessä maksupalvelutoiminnassa monissa tarkoituksissa. Maksuvälineet ovat henkilökohtaisia, jollei voida puhua anonyymistä maksamisesta. Maksuvälineisiin liittyvä oikeuksien hallinta toteutetaan henkilötiedollisten järjestelmien päällä. Tilinhaltija yksilöidään henkilötiedoilla ja tunnistetaan henkilötiedollisella käyttöoikeusjärjestelmällä (esim.Tupas). Maksu yksilöidään maksajan ja maksunsaajan henkilötiedoilla, jollei ole kyse oikeushenkilöstä. Mitä enemmän maksupalvelu siirtyy käytännössä etäasioinniksi ja itsepalveluksi, sitä enemmän kyse on tietojärjestelmiin ja henkilötietoihin tukeutuvasta toiminnasta.  Ongelmana suhteessa henkilötietolakiin on yleisesti ottaen se, että kyse ei ole yksin rekisterinpitäjän toimesta tapahtuvasta henkilötietojen käsittelystä vaan tavallaan yhdessä käsittelystä, jossa käyttäjälle (rekisteröity) on annettu rajattu oikeus käsitellä omia tietojaan ja hänelle muodostuu siten myös vastuu tällaisesta käsittelystä. Henkilötietolain mukainen käsittelyvastuu on hyvin pitkälti rekisterinpitäjällä ja tässä suhteessa henkilötietolain vastuusäännöt eivät ole lähtökohdiltaan yhteensopivia tässä tarkoitetun henkilötietojen käsittelyn sääntelemiseksi. 

Maksupalvelutoiminta on yksityisoikeudellista palvelua, jonka käytöstä tehdään sopimus (puitesopimus).  Tällaiset sopimukset saavat hyvinkin keskeisen roolin säädeltäessä yksityiskohtaisemmin ei ainoastaan kuluttajasuojasta vaan myös henkilötietojen käsittelystä, jota erilaisten tietoyhteiskunnan palvelujen käyttö edellyttää.  Henkilötietojen käsittelyn sääntelyssä on perinteisesti lähdetty perustuslain ja julkisoikeudellisen laillisuusperiaatteen perusteella siitä, että henkilötietojen käsittelystä on säädettävä lailla. Tästä syystä henkilötietojen käsittelyn sääntelyssä ei sopimusjärjestelyt ole saaneet kovin suurta painoarvoa eikä käytössä ole vakiintuneita keinoja arvioida onko henkilötietojen käsittelyä koskeva vastuunjako osapuolten käytössä olevien tieto- ja viestintäteknisten  keinojen, toimintamahdollisuuksien ja kykyjen kannalta kohtuullinen. 

Seuraavassa keskeiset havainnot tästä kuluttajan roolista vastuullisena henkilötietojen käsittelijänä.   

38 § Maksajan suostumus maksutapahtuman toteuttamiseen

Henkilötietojen käsittelyn peruste on puitesopimuksen muodostama asiakassuhde ja yksittäisen maksun osalta suostumus.  Henkilötunnus on kerätty tätä puitesopimusta tehtäessä ja sen käsittely nykyään perustuu esimerkiksi luottolaitosten osalta henkilötietolain 13 §:ään ja rahanpesun ja terrorismin rahoituksen estämisestä ja selvittämisestä annetun lain (503/2008) säännöksiin asiakkaan tuntemisesta ja tunnistamista. Se, kattaako henkilötietolain nykyiset perusteet ja rahanpesusäännökset kaikkia mahdollisia maksupalvelutoiminnan harjoittajat, en tarkkaan ottaen tiedä, mutta mielestäni henkilötietolain 13 §:n 1 momentin 2 kohtaan voisi pitää voimassaolevan lain kannalta riittävänä perusteena. Kyseessä olisi siis lainkohta, jota voitaisiin tällaisessa toiminnassa tulkita siten, että rekisteröityjen oikeuksien (tässä varallisuusoikeuksien) ja velvollisuuksien toteuttamisen kannalta heidän tiedollinen yksilöintinsä henkilötunnuksen avulla on tärkeää.  Henkilötunnusta olisi siten oikeus käsitellä käyttäjien tietojen yksilöintiin maksupalvelutietojärjestelmässä, mutta sen perusteetonta leviämistä tulisi pyrkiä välttämään sillä, että sitä ei käytetä ehdotuksen 44 §:ssä tarkoitettuna yksilöivänä tunnisteena. Ehdotuksessa ei esitetä tähän muutosta vaan tunnisteena olisi muu henkilöön liitettävä tunniste kuten pankkitilinumero eikä edes viitenumerona esitetä käytettäväksi henkilötunnusta, mikä on ollut Suomessa maksuvälityksessä vallitseva käytäntö.    

2 luku Tiedonantovelvoitteet  

Luvussa on lukuisia palvelutarjoajia koskevia tiedonantovelvoitteita. 
Ensimmäiset säännökset koskevat tiedonsaantia puitesopimuksesta (ennakkotiedot). Näiltä osin on kyse henkilötietolain 24 §:ssä tarkoitettua informointivelvoitetta yksityiskohtaisemmasta tiedonannosta, joka ei pääasiassa kohdistu itse tietojenkäsittelyyn. Usein sopimuksiin sisältyy henkilötietojen käsittelyä koskevia informointityyppisiä kohtia ja mikäli tällaiset ehdot ovat suostumuksen varaisia tulee niistä em. ohella myös informoida. 

Kun tiedonantaminen koskee tapahtunutta maksua, tulee kyseeseen myös henkilötietolain 26 §:ssä tarkoitetut tarkastusoikeutta koskevat säännöt. Näiltä osin ehdotus näyttäisi vain täsmentävän rekisteröidyn tarkastusoikeutta tässä palvelussa eikä tarkastusoikeuden maksuttomuus näyttäisi aiheuttavan ongelmaa ottaen huomioon ehdotuksen 26 §:n 1 momentti. Säännöksen 2 momentin perusteluissa voisi tuoda esille tämän tarkastusoikeuden maksuttomuuden kerran vuodessa toteutettuna.  

7 luku Vastuu ja maksunpalautus 

VIrheellistä tai oikeudetonta maksutapahtumaa voidaan myös arvioida henkilötietolain 29 §:ssä tarkoitettuna tiedon korjaamisena.  Tämän ehdotuksen mukaan jossain tilanteessa virhe korjataan maksunpalautuksella ja joskus erityisesti 68 §:n tilanteessa se jää sen varaan, miten palveluntarjoaja onnistuu varojen takaisin hankkimisessa. Tässä yhteydessä tulisi mielestäni poissulkea se, ettei  tällaista tiedon korjaamista voisi ajaa henkilötietolain mukaisena tiedon korjaamisasiana, koska tietosuojavaltuutetulla ei ole toimivaltaa määrätä maksunpalautuksesta, josta asiassa olisi viime kädessä kysymys. Jos palveluntarjoajan toimet eivät johda tulokseen, on käyttäjän nostettava perusteettoman edun takaisinsaantikanne virheen oikaisemiseksi.  Tällaiseen virheen oikaisuun tulisi olla vähän mutkattomampi oikeusturvakeino (vrt. esim. arvopaperilautakunta), koska oikeudenkäytön kustannukset voivat olennaisesti nostaa kynnystä tällaisen viimekätisen oikeusturvatien käyttöön. Jos muuta oikaisukeinoa ei ole, voidaan käyttäjälle ehdotuksen 68 §:n vastuunjaosta aiheutuva taloudellinen riski laskea ja se tulisi myös ilmaista ehdotuksen vaikutusarvioinnissa. 

Ehdotuksen 68 §:ssä tulisi myös kiinnittää huomiota palveluntarjoajan ennaltaestäviin toimiin, joilla käyttäjä voisi omat kirjoitusvirheensä havaita.  Henkilötietolain näkökulmasta on kyse rekisterinpitäjän vastuusta huolehtia tietojen oikeellisuudesta (henkilötietolaki 9 §:n 2 momentti).

Joissakin tapauksissa on ilmennyt, että maksusaaja on epäonnistunut tai myöhästynyt tiliveloitusten toimittamisessa palveluntarjoajalla, jolloin palveluntarjoajat eivät ole voineet tehdä veloitusta ajallaan.  Ratkaisuna tällaisessa tilanteessa on se, että palvelujentarjoaja on varannut sopimusehdoissa oikeuden luovuttaa maksajan yhteystiedot, joiden perusteella maksunsaaja peri suoraan omin toimin tällaista saatavaa. Sinänsä tällaista sopimusehtoa on pidetty hyväksyttävänä.  Kuluttajan näkökulmasta ongelmat liittyvät siihen, että perintäkirje voi tulla vuosienkin kuluttua ja siihen, onko epäkunnossa ollut maksupäätelaite tuottanut luotettavaa tieto saatavien kohdistamiseksi.  Tällaisissa tapauksissa voisi käyttäjän tiedonsaantioikeutta selkeyttää.   

62 § Maksupalvelun käyttäjän vastuu maksuvälineen oikeudettomasta käytöstä

Henkilötietolain näkökulmasta säännös liittyy käyttäjälle asetettuun velvollisuuteen maksuvälineen ja siihen liittyvien tunnisteiden suojaamiseen. Henkilötietolain 32 §:n suojaussäännös ei koske rekisteröityä vaan rekisterinpitäjää ja näiltä osin kyse on suojausvastuun järjestämisestä toisin kuin henkilötietolaissa.  

Ensimmäinen vastuuperuste muodostuu siitä, että käyttäjä tai muu haltija on luovuttanut maksuvälineen sen käyttöön oikeudettomalle. Luovutuksella tarkoitetaan perusteluissa vapaaehtoista hallinnan luovutusta, tapahtuipa se missä tarkoituksessa tahansa.  Tässä yhteydessä on ilmeisesti tarkoitettu luotettavaa tietovälinettä, jonka hallintaan voidaan luoda tunnistamiseen liittyvä hallintaolettama (esim. vaikeasti väärennettävä luottokortti sulkulistalla tuettuna).  Kun kuitenkin maksuvälineellä tarkoitetaan 8 §:ssä tällaisen kortin lisäksi muuta käyttäjäkohtaista välinettä tai menetelmää taikka näiden yhdistelmää tulisi tämän säännöksen perusteluissa tarkemmin tuoda esille mitä muuta käyttäjäkohtaista välinettä tai menetelmää taikka näiden yhdistelmää tässä tarkoitetaan.  Tyypillisten käyttäjätunnusten  ja salasanojen hallintaan ei voida liittää perinteistä hallintaolettamaa, koska tietoina ne on vain jaettu eikä luovuttaja ole niiden hallintaa menettänyt.   
  
Toinen vastuuperuste liittyy siihen, että käyttäjä on laiminlyönyt huolimattomuuttaan 53 §:n 1 momentin suojaus- ja huolellisuusvelvoitteensa.  Tähän velvoitteeseen kuuluu sopimusehtojen mukainen käyttö sekä erityisesti se, että kohtuullisin toimenpitein huolehtii maksuvälineestä ja siihen liittyvistä tunnistetiedoista.  Tässä säännöksessä on maksuväline -käsitteen lisäksi käytetty siihen liittyvää tunnistetiedon käsitettä, jolla on tarkoitettu asiakastunnusta, PIN-koodia ja muita tunnuslukuja sekä muita vastaavia maksuvälineeseen toiminnallisesti liittyviä, mutta siitä fyysisesti erillisiä tunnistetietoja.  Esimerkkinä siitä, mitä ei pidetä tällaisena tunnistetietona mainitaan luottokortin numero, joka on painettu luottokorttiin ja joka on siten välittömästi kenen tahansa luottokortin haltuunsa saaneen nähtävissä.  Tämän esimerkin valossa olennaista näyttäisi olevan se onko tunniste liitetty maksuvälineeseen ja onko se kenen tahansa nähtävissä ilman mitään teknistä apuvälinettä.  Tämän perusteella käyttäjän suojausvelvollisuus koskisi luottokorttinumeroa silloin kun se on kiinnitetty johonkin muuhun tietovälineeseen.   Jos käyttäjä antaa luottokorttinumeron eräänlaisena vakuutena (autonvuokraus tai hotellivaraus) tulevalle maksunsaajalle, onko käyttäjällä vastuu myös siinä  tapauksessa, että maksunsaaja epäonnistuu tällaisen tiedon suojauksessa ja ulkopuoliset voivat saada luottokorttitiedot haltuunsa. (esim. tietomurto hotellin  varausjärjestelmään).  Toinen kyseeseen tuleva käytännön tilanne liittyy ns. phishing -tyyppiseen harhaanjohtavaan tiedonkeräämiseen, jossa uhria erehdytetään harhaanjohtavan linkin avulla antamaan nimenomaan maksuvälineen käyttöön liittyviä tunnisteita. Kun ehdotus merkitsee käyttäjän vastuun vähäistä ankaroitumista, olisi hyvä avata perusteissa sitä merkitseekö vastuun ankaroituminen sitä, että käyttäjä olisi vastuussa tällaisissa tilanteissa maksuvälineen käytöstä kunnes on tehnyt 62 §:n 3 momentissa tarkoitetun ilmoituksen.  

Maksunsaajan laiminlyönti maksuvälineitä koskevien tunnistamistietojen suojaamiseen voitaisiin kirjata 62 §:n 3 momentin 3 kohdan vastuurajoitukseen lisäämällä sinne maininta maksunsaajan huolimattomasta menettelystä myös  tietojen suojaamisen osalta (esim. ...tai maksusaajan on laiminlyönyt maksuvälineeseen liittyvien tunnistetietojen asianmukaisen suojauksen.)  Tämä korostaisi maksunsaajan rekisterinpitäjän omaista vastuuta siitä, että jos maksunsaaja pitää näiden henkilötietojen käsittely asiakastietoina ja erityisesti niiden pitempää säilyttämistä tarpeellisena, on maksunsaaja rekisterinpitäjänä ottanut  erityisen riski, josta kantaa myös taloudellisen vastuun niiden suojauksen laiminlyönnistä. Tämä on yksi keino, jolla voidaan torjua luvatonta henkilötietojen käyttöä, josta yleisemmin keskustellaan ns. identiteettivarkautena.   

Mielestäni myös käytettyä käsitteistöä tulisi täsmentää. Luottokorttinumeroa voidaan pitää maksuvälineeseen liittyvän tunnisteena ja sen funktio on 44 §:ssä tarkoitetun yksilöivän tunnisteen tapainen.  Sen avulla ohjataan veloitustapahtuma oikealle palvelun tarjoajalle ja tämän ylläpitämälle käyttäjän asiakastilille. Tällainen maksuliikenteen ohjaustieto ei vielä kerro mitään siitä liittyykö siihen käyttäjän antama suostumus.  Tämä suostumus toteutetaan usein tunnistamalla maksuvälineen oikeutettu käyttäjä. Tällaisen identifioimistunnisteen tarkoitus liittyy henkilön tunnistamiseen ja jos se ei ole biometrinen tunniste, on sen keskeinen ominaisuus se, että se on vain kyseisen henkilön tiedossa. Kyse ei siis ole julkisesta tiedosta eikä salaosapidettävästä tiedosta vaan henkilökohtaisesta tiedosta ja siinä mielessä henkilötunnus, pankkitilinumero ja luottokorttinumero eivät ole tällaisia identifioimistietoja. Tällaiseen henkilökohtaiseen idenfioimistietoon viittaa ehdotuksen 53 §:n 2 momentin säännös, jossa edellytetään, että palvelutarjoaja osaltaan varmistaa, ettei muilla kuin maksuvälineen haltijalla ole pääsyä maksuvälineeseen liittyviin tunnistetietoihin. Tällä ei voida tarkoittaa muuta kuin henkilökohtaisia identifioimistietoja.  Sellaisenaan säännös on perusteltu, koska siinä kiinnitetään erityistä huomiota maksamisen tunnistamisjärjestelmien suojaamiseen myös palveluntarjoajan sisällä ja merkitsisi sitä, ettei maksuvälineeseen liittyviä identifioimistietoja voida ylläpitää tai uusia vaan ne olisivat maksuvälinekohtaisia.  

Vastuun vapauttamisperusteista kiinnitän huomiota 62 §:n 3 momentin 3 kohtaan, joka koskee maksunsaajan velvollisuutta huolehtia maksuvälinettä käytettäessä maksajan oikeudesta käyttää maksuvälinettä. Vaikka perusteluissa on mainittu nimikirjoituksen vertailu nimikirjoitusnäytteeseen jää tunnistaminen käytännössä paljolti sen luottamuksen varaan, että oikea henkilö hallitsee henkilöllisuusasiakirjaansa ja tämän läsnäolosta maksutapahtuhetkellä kirjataan henkilötunnuksen loppuosa maksunsaajalle jäävään tositteeseen.  Yleistyvä PIN-tunnistus tulee ajan myös syrjäyttämään tämän tunnistuskäytännön.  Sen sijaan ihmettelen sitä, miten perusteluissa voidaan etäasioinnin osalta todeta: 
 "Maksunsaajalta ei sitä vastoin käytännössä voida edellyttää maksajan henkilöllisyyden tarkistamista esimerkiksi silloin, kun suostumus maksutapahtuman toteuttamiseen annetaan verkkokaupassa, verkkopankissa, automaatilla tai matkapuhelimella."

Tällaistä etäasiointia varten on kehitetty erilaisia tunnistamismenetelmiä (kuten HST ja Tupas-tunnukset) ja niitä myös käytetään. Eduskunnassa on käsiteltävänä lakiesitys vahvasta sähköisestä tunnistamisesta ja sähköisestä allekirjoittamisesta (HE 36/2009), jolla pyritään edistämään tällaista etätunnistamispalvelutarjontaa. Näin ollen maksusaajalta voidaan nyt ja tulevaisuudessa edellyttää parempaa tunnistamista eikä maksunsaajia tulisi tällaisessa puhtaasti sähköisessä kaupankäynnissa vapauttaa tällaisesta huolellisuusvelvoitteesta.  

70 § Vastuu oikeudettomasta maksutapahtumasta 

Säännöksen valossa vastuu oikeudettoman maksutapahtuman havainnoinnista jätetään maksupalvelun käyttäjälle. Jos oikeudettomasta maksutapahtumasta ei ilmoiteta määräajassa, menettää käyttäjä oikeuden saada maksuntapahtuman palautusta tai muuta hyvitystä.  Tällaista tietojärjestelmän käytön valvontaa ei voida täysin ulkoistaa henkilötietolain 32 §:n suojausvelvollisuus huomioon ottaen.  Maksupalvelujen toteuttamisen edellyttämien tietojärjestelmien ja tiedonsiirron suojaamiseksi on järjestelmien ylläpitäjiltä edellytettävä myös huolellisuutta jopa aktiivisia väärinkäytösten havainnointi- ja torjuntatoimenpiteitä varsinkin kun  toiminta perustuu etäasiointiin tietoverkon välityksellä. Kun asiakkaan toimintaa on rahanpesusäännösten johdosta jatkuvasti tarkkailtava on mielestäni perusteltua käyttäjän kannalta turvallisen maksupalvelun toteuttamiseksi, että maksupalvelun tarjoajat tarkkailevat maksunvälitystä myös tällaisessa omassa ja asiakkaidensa intressissä eikä väärinkäytösten havainnointi jää yksin käyttäjän jälkikäteisen reklamaation varaan.  
 
Tästä syystä ehdotan, että 70 §:n viimeiseen virkkeeseen lisätään palveluntarjoajan huolimattomuus varmistaa asianmukaisesti maksutapahtuman laillisuus. 
Asianmukainen varmistaminen ei olisi pelkästään sitä, että palveluntarjoaja kytkenee osoittamaan että maksuvälinettä ja niihin liittyviä identifioimistietoja on käytetty (ks. ehdotuksen 72 § 2 momentti) vaan kyseeseen tulisi myös näin esitettyjen maksutoimeksiantojen arviointi siitä näkökulmasta poikkeaako kyseinen toimeksianto kyseessä olevan asiakkaan tavanomaisista toimista olennaisesti (esim. toimeksianto tulee toiselta puolen maapalloa ja yöaikaan sekä siinä siirretään koko tilin rahamäärä ulkomaille).  Se, ettei käyttäjä tällaista huomaisi voisi liittyä esimerkiksi säästötiliin, josta käyttäjä ei välttämättä saa tai hanki säännöllisesti tietoja. 

86 § Rikosten selvittämiseen ja torjuntaan liittyvä toimialan sisäinen tiedonvaihto 

Ehdotuksen 86 §:n 2-4 momentin säännökset liittyvät direktiivin artikla 79  täytäntöönpanoon. Tällaisia toimialan keskinäistä tiedonvaihtoa koskevia järjestelyjä arvioitiin luottotielain (527/2007) säätämisen yhteydessä, jolloin todettiin, että tällaiset tiettyä toimialaa koskevat tiedonvaihtojärjestelmät ovat toimialakohtaisia eikä yleisiä säännöksiä voida toimialojen erilaisista tiedontarpeista johtuen ole mahdollista saada aikaiseksi. Tästä syystä tällaiset järjestelmät jäivät tietosuojalautakunnan lupaa edellyttäviksi järjestelmiksi.  Viimeinen toistaiseksi voimassa oleva lähinnä luottolaitoksille myönnetty lupa on annettu 4.2.2004 (päätös 2/2004) ja se löytyy finlexistä tietosuojalautakunnan lupatietokannasta.  Lupa koskee yleisesti luottolaitoksiin kohdistuvia rikoksia. 

Mielestäni artikla 79 nimeää vain maksupetoksiin liittyvät väärinkäytökset, jotka mielestäni sisältyvät em. lupaan. Näillä perusteilla 79 artiklan implementointi ei edellyttäisi enempiä toimia.  Lupamenettelyn rajoitus on siinä, että se koskee vain hakijoita. Tällöin muut toiminnan harjoittajat jäisivät pois tällaisen tiedon jakelun ulkopuolelle. Asianomistajina heillä olisi kuitenkin  henkilötietolain 12 §:n 4 kohdan perusteella oikeus käsitellä väärinkäytöstietoja, mutta ei oikeutta väärinkäytöstietojen luovuttamiseen muille toiminnan harjoittajille.  Jos säännöstä pidetään tarpeellisena voisi siinä olla saman tyyppinen viittaus tietosuojalautakunnan lupamenettelyyn kuin vakuutusyhtiölain 18 luvun 6 b §:n 6 kohdassa (49/2002). 

Tietosuojavaltuutettu		Reijo Aarnio

	Ylitarkastaja		Heikki Partanen