2.2.1  Vertailutietotarkastuksen kohdevalinta

Vertailutietotarkastuksessa verotarkastuksen kohteena on taho, josta itsestään Verohallinto ei kerää tietoja, vaan tarkastuksessa kerätään taloudellista toimintaa ja verotusta koskevasta toiminnasta tietoja, joita käytetään muiden verovelvollisten verotuksessa. Tyypillisesti tietoja kerätään tarkastuksen kohteen asiakkaista tai liikekumppaneista. 

Vertailutietotarkastuksessa tarkastettavaksi esitettävä aineisto voi koskea sekä suomalaisia että ulkomaalaisia luonnollisia henkilöitä tai oikeushenkilöitä, kun tietoja tarvitaan verovalvonnassa esimerkiksi verovelvollisen ilmoittamisvelvollisuuden, verovelvollisuusaseman oikeellisuuden tai lähdeverovelvoitteiden hoitamisen tarkastamiseksi tai Verohallinnon kansainvälisten velvoitteiden täyttämiseksi. Luonnollisten henkilöiden osalta tietojen käyttötarve on pääsääntöisesti ilmoittamisvelvollisuuden täyttämisen valvonta. Vertailutietotarkastuksen laajuus määräytyy kulloisenkin tarkastuksen tarpeiden pohjalta ja tarkastus voi näin ollen kohdistua laajaankin joukkoon taloudellisia tapahtumia. Esimerkiksi pankeilta on vertailutietotarkastuksissa pyydetty tietoja tilinomistajien kaikista rajat ylittävistä tilisiirroista, suomalaisella yksityiskortilla etänä suoritetuista ostoista ulkomailla, suomalaisille tiliasiakkaille suoritetuista maksuista tietyiltä ulkomaisilta pankkitileiltä tai suorituksista suomalaisten asiakkaiden maksukorteille ulkomaisista virtuaalivaluuttapörsseistä tiettyjen kauppiaiden osalta. Nämä tilitapahtumat ovat sisältäneet sellaisia taloudellisia tapahtumia, joista Verohallinto ei saa tietoa muualta ja joiden käsittely on verovalvonnassa välttämätöntä oikean ja yhdenmukaisen verotuksen varmistamiseksi.  

2.2.2  Tarkastettavan aineiston sisältö, tarkastuksen toistettavuus ja ajallinen ulottuvuus

Vertailutietotarkastuksen oikeasuhtaisuus verovalvonnan tavoitteisiin nähden edellyttää, että tarkastus rajataan ja kohdistetaan vain sellaisiin tietoihin, jotka ovat verovalvonnassa tarpeen. Vertailutietotarkastuksia koskevan Verohallinnon ohjeen mukaan tarkastettavaksi pyydetään esittämään aineisto, joka kussakin vertailutietotarkastuksessa arvioidaan tarpeelliseksi tarkastuksen kohteena olevan veroriskin valvonnan kannalta. Verohallinnon syventävä vero-ohje: Vertailutietotarkastukset, diaarinumero VH/4409/00.01.00/2023. Tietojen tarpeellisuutta punnitaan suhteessa valvottavaan veroriskiin sekä tarkastuksen kohteelle pyynnön toteuttamisesta aiheutuvaan hallinnolliseen taakkaan nähden. Verohallinnon syventävä vero-ohje: Vertailutietotarkastukset, diaarinumero VH/4409/00.01.00/2023. Esimerkiksi rajat ylittävien tilisiirtojen osalta on vertailutietotarkastuksissa voitu pyytää pankeilta tietoja asiakkaiden tilisiirtojen maksun määrästä, maksun päivämäärästä sekä maksun suorittajasta ja saajasta. Tilinomistajien osalta pyydetyt tiedot voivat liittyä muun muassa asiakastunnukseen, tilinumeroon sekä asiakkaan yhteystietoihin. Mikäli vertailutietotarkastuksen kohteena on esimerkiksi alustatalouden toimija, tarkastettavaksi pyydetty materiaali tavallisesti liittyy tarkastuksen kohteen ja sen asiakkaiden välisen asiakassuhteen tietoihin, kuten sopimuksiin ja yksilöintitietoihin sekä myynti- ja ostolaskuja koskeviin tietoihin. Kutakin vertailutietotarkastusta suunniteltaessa varmistetaan, että tarkastuksessa esitettäväksi pyydettävä aineisto kohdistuu vain etukäteen tarpeelliseksi arvioituihin tietoihin, jotka koskevat valvottavana olevia taloudellisia tapahtumia. Tiedonantovelvollisen kanssa on tarvittaessa käyty keskusteluita pyynnön kohdentamisesta. Vertailutietotarkastuksen kohteelle osoitetussa tietopyynnössä on perustelut tietojen esittämiselle ja tarpeellisuudelle verovalvonnassa. Vaikka kyseessä olisi laaja vertailutietotarkastus, tietopyyntö ei lähtökohtaisesti koske kokonaista rekisteriä.  

Verohallinnolla on lakisääteinen velvollisuus verovalvonnan suorittamiseksi. Valvonnan tarkoituksena on selvittää, onko valvottava verovelvollinen ilmoittanut tiedot oikein Verohallinnolle. Valvonnan luonteeseen siten kuuluu, että kaikki vertailutietotarkastuksella kerätty tieto ei johda verotustoimenpiteisiin. Vertailutietotarkastuksissa pyritään tietoja käsittelemällä ja seulomalla valvomaan verovelvoitteiden täyttämistä tietyllä riskialueella, eikä tietojen käsittelyä voida etukäteen rajata henkilötasolla. Tietojen rajaamisella ja kohdentamisella turvataan kuitenkin se, että vertailutietotarkastuksella kerättävät tiedot ovat olennaisia kyseessä olevan valvottavan veroriskin arvioimiseksi. Verohallinnon syventävä vero-ohje: Vertailutietotarkastukset, diaarinumero VH/4409/00.01.00/2023. 

Lainsäädännössä ei ole rajattu vertailutietotarkastusten määrää samaan tiedonantovelvolliseen. Näin ollen vertailutietotarkastus voidaan kohdistaa samaan tiedonantovelvolliseen useamman kerran, mikäli kerättävät tiedot ovat veroriskien verovalvonnassa tarpeen. Tämä edellyttää kuitenkin aina tapauskohtaista arviointia, mikä tarkoittaa sitä, että jokaisen vertailutietotarkastuksen toteuttaminen harkitaan erikseen, vaikka tarkastuksen kohteena on sivullinen, johon on aiemminkin kohdennettu vertailutietotarkastus. Vertailutietotarkastus on tehokkaan verovalvonnan takaamiseksi toisinaan toistettava riittävän usein, jos vertailutietojen avulla on havaittu esimerkiksi vakavia puutteita tulojen ilmoittamisessa. Vaikka vertailutietotarkastuksen kohteena tällöin on sama tiedonantovelvollinen, ovat kerättävät vertailutiedot uusia. Vertailutietotarkastuksen rajaamisessa ja tarkastettavaksi pyydettävien tietojen valinnassa otetaan huomioon aiemman tarkastuksen perusteella tehdyt havainnot. Jokainen vertailutietotarkastus on oma valvontatoimenpiteensä. Kyse ei ole tarkastuskohteeseen kohdistuvasta säännönmukaisesta tiedonantovelvollisuudesta. Verohallinnon syventävä vero-ohje: Vertailutietotarkastukset, diaarinumero VH/4409/00.01.00/2023. Vertailutietoja voidaan kerätä eri pituisilta ajanjaksoilta riippuen tarkastuksen tarpeesta. Tietoja voidaan pyytää esimerkiksi kalenterivuosikohtaisesti tai puolen vuoden jaksolta.  

Tiedonantovelvollisen on mahdollista saada vertailutietotarkastuksella esitettyyn tietopyyntöön valituskelpoinen päätös verotusmenettelylain 65 a §:n 7 momentin mukaisesti. Muutosta päätökseen haetaan verotuksen oikaisulautakunnalta kirjallisella oikaisuvaatimuksella. 

2.2.3  Vertailutietotarkastuksen vaiheet

Vertailutietotarkastuksessa noudatetaan vastaavaa menettelyä kuin tavallisessa verotarkastuksessa. Vertailutietotarkastus käynnistyy Verohallinnon yhteydenotolla ja alkukeskustelulla tarkastuksen kohteen kanssa. Vertailutietotarkastus toteutetaan nykyisin pääsääntöisesti tietoteknisenä verotarkastuksena (IT-verotarkastus) johtuen käsiteltävien tietoaineistojen laajuudesta. IT-verotarkastuksissa hyödynnetään yrityksen sähköisessä muodossa olevia taloushallinnon ja muiden järjestelmien liiketapahtumatiedostoja. Verohallinto toimittaa tarkastuksen kohteelle kirjallisen pyynnön tarkastettavaksi pyydetystä aineistosta. Tarkastettavaksi esitettävän aineiston osalta lähtökohtana on, että verotarkastajat keräävät heille esitetystä aineistosta verovalvonnassa tarpeelliset vertailutiedot. Vertailutietotarkastuksessa voidaan myös sopia, että tarkastuksen kohteena oleva taho kerää itse määritellyt tiedot ja esittää ne Verohallinnolle tarkastettavaksi. Verohallinnon syventävä vero-ohje: Vertailutietotarkastukset, diaarinumero VH/4409/00.01.00/2023. 

Vertailutietotarkastus päättyy, kun verotarkastajat ovat keränneet tarkastuksen kohteena olleesta aineistosta verovalvontaa varten tarvitsemansa tiedot. Vertailutietotarkastuksesta laaditaan verotarkastuskertomus, josta selviää, että verotarkastus on suoritettu vertailutietojen keräämiseksi. Tarkastuskertomus toimitetaan tiedoksi tarkastuksen kohteena olleelle taholle, jolta vertailutiedot on kerätty. Verohallinto on määritellyt vertailutiedoille säilytysperiaatteet ja nimeää niille aineistokohtaiset tietovastaavat. Aineistokohtaiset tietovastaavat huolehtivat siitä, että verotarkastajien vertailutietotarkastuksella keräämät henkilötiedot hävitetään, kun tiedoille ei ole enää verolainsäädännön mukaista käyttötarvetta. Verohallinnon syventävä vero-ohje: Vertailutietotarkastukset, diaarinumero VH/4409/00.01.00/2023. 

Vertailutietotarkastuksen päätyttyä vertailutietotarkastuksella kerättyjä tietoja käytetään yksittäistä verovelvollista koskevissa verotustoimenpiteissä. Tietojen perusteella voidaan käynnistää verovelvollista koskeva verotarkastus tai tietoja voidaan käyttää verotuksen oikaisuissa. Tietojen käyttö yksittäistä verovelvollista koskevissa verotustoimenpiteissä ei kuulu enää vertailutietotarkastukseen eikä verovalvonta kohdistu vertailutietotarkastuksen kohteena olevaan tiedonantovelvolliseen. Verovalvonta on siten vertailutietotarkastuksesta erillinen toimenpide, joka koskee sellaista verovelvollista, jota koskevaa tietoa Verohallinto on saanut vertailutietotarkastuksen kohteena olevalta tiedonantovelvolliselta. Verovalvonta ei koske vertailutietotarkastuksen kohteena ollutta tiedonantovelvollista. 

2.2.4  Esimerkki tietopyynnöstä

Esimerkkitapauksessa Verohallinto on pyytänyt seuraavat tiedot: 

”Verohallinnossa on vireillä vertailutietotarkastus nro X, joka koskee euromääräisiä suorituksia/nostoja ulkomaalaisista virtuaalivaluuttapörsseistä kyseisten virtuaalivaluuttapörssien suomalaisten asiakkaiden maksukorteille. 

Tiedustelu koskee suorituksia, joiden kauppiasnimessä esiintyy joku seuraavista: 

- *** 

- *** 

- *** 

- *** 

- *** 

- *** 

- *** 

- *** 

- *** 

- *** 

- *** 

- *** 

Korttitapahtumatiedot pyydetään esittämään tarkastettavaksi kalenterivuodelta 2021. 

Verohallinto kehottaa Y:tä toimittamaan 31.8.2022 mennessä hallussaan olevat seuraavat tapahtumakohtaiset tiedot koskien edellä mainituilta kauppiasnimiltä tulleita suorituksia/nostoja Y:n asiakkaiden maksukorteille: 

Tietosisältö: 

- suorituksen saajan nimi 

- suorituksen saajan henkilötunnus 

- suorituksen saajan yritys- ja yhteisötunnus 

- suorituksen määrä (euro) 

- suorituksen ajankohta (pvm) 

- maksajan kauppiasnimi 

- maksajan kauppiastunnus (id)” 

Edellä lainattujen kohtien lisäksi esimerkkinä käytetty tietopyyntö sisältää sääntelyn, johon pyyntö perustuu. Lisäksi tietopyyntö sisältää ohjeistusta siitä, missä muodossa tiedot tulee toimittaa sekä kuvauksen pyydettyjen tietojen käyttötarkoituksesta ja oikeasuhtaisuudesta vertailutietotarkastuksessa. Nykyisessä menettelyssä Verohallinto ei ole pyynnössä paljastanut verovalvonnan riskikohteita. Pyydettyjen tietojen käyttötarkoitus ja oikeasuhtaisuus on kuvattu sillä tavoin, että niistä ei ole suoraan pääteltävissä tietoja, jotka voivat vaarantaa verovalvonnan tarkoituksen toteutumisen. Tällaiset tiedot ovat salassa pidettäviä viranomaisten toiminnan julkisuudesta annetun lain (621/1999) 24 §:n 1 momentin 15 kohdan nojalla. 

2.4.1  Korkein hallinto-oikeus

Korkein hallinto-oikeus on ennakkopäätöksessään KHO 2020:8 käsitellyt Verohallinnon vertailutietotarkastusta varten pankille esittämän tietopyynnön lainmukaisuutta. Korkein hallinto-oikeus on katsonut, että Verohallinnon tietopyyntö, jossa muun ohella pyydettiin listaus pankin kaikista asiakkaista, ei ollut tietosuoja-asetuksen mukainen. Tietoja oli pyydetty liian laajasti, kun tietopyyntöä ei ollut pyritty rajaamaan sellaisiin asiakkaisiin, joita koskevien tietojen voitiin olettaa olevan verovalvonnan toteuttamiseksi tarpeellisia. Päätöksessään korkein hallinto-oikeus on arvioinut asiaa tietosuoja-asetuksen 5 ja 6 artiklan, tietosuojalain 4 §:n 2 kohdan ja verotusmenettelystä annetun lain 21 §:n perusteella. 

Tapauksessa Verohallinto oli pyytänyt pankilta vertailutietotarkastusta varten muun muassa pankin asiakaslistausta tiettynä ajankohtana ja tietoja pankin myöntämistä lainoista sekä tietoja välitetyistä vakuutuksista ja vakuutuksiin liittyvistä säilytettävistä ja hoidettavista varallisuuksista neljän kalenterivuoden jaksolla. Lisäksi tietoja oli pyydetty tiettyjä maita koskevista maksuista maksunsaajaa ja -vastaanottajaa koskevine tietoineen ilman euromääräistä alarajaa ja tilastoja ulkomaan rahaliikenteestä. Korkein hallinto-oikeus on tuonut esille, että vertailutietotarkastusta koskevaa verotusmenettelylain 21 §:ää ei ole muutettu tietosuoja-asetuksen tultua voimaan. Tietosuoja-asetuksen 6 artiklan 3 kohdan toisen alakohdan nojalla jäsenvaltion lainsäädännön tulee täyttää yleisen edun mukainen tavoite ja oltava oikeasuhtainen sillä tavoiteltuun oikeutettuun päämäärään nähden. Verotusmenettelylain 21 §:ään ei sisälly nimenomaista oikeasuhtaisuuden vaatimusta. Sen vuoksi säännöstä sovellettaessa tulee tietosuoja-asetuksen voimaantulon jälkeen ottaa huomioon myös tietosuojalain 4 §:n 2 kohta, jotta kansallinen lainsäädäntö täyttää tietosuoja-asetuksen lainmukaisuuden ja oikeasuhtaisuuden vaatimukset. Korkeimman hallinto-oikeuden mukaan oikeasuhtaisuuden arvioinnissa tulee punnita julkisen vallan käyttämiseen kuuluvaa verovalvonnan turvaamista tietojen keräämistä puoltavana seikkana suhteessa tietosuoja-asetuksen 5 artiklan vaatimuksiin tietojenkäsittelyn kohtuullisuudesta, läpinäkyvyydestä, käyttötarkoitussidonnaisuudesta sekä tietojen minimoinnista tietojen keräämistä rajoittavina seikkoina. Korkein hallinto-oikeus on myös linjannut, että tietosuoja-asetuksen johdanto-osa, jossa kuvataan asetuksen tavoitteita ja päämääriä, tulee huomioida arvioinnissa. Korkeimman hallinto-oikeuden mukaan johdanto-osan 31 kohtaan perustuen, ei viranomaisen tietopyynnön yleensä voida katsoa oleva oikeasuhtaisuusvaatimuksen mukainen, kun tietopyyntö koskee kokonaista rekisteriä. 

Korkein hallinto-oikeus on edellä esitettyyn perustuen päätöksessään linjannut, että tietopyynnön laajuus huomioiden sitä ei ole pyritty rajaamaan sellaisiin asiakkaisiin, joita koskevien tietojen voitaisiin olettaa olevan tarpeen verovalvonnassa. Tietopyyntö oli ollut niin laaja, että sen toteuttaminen olisi vaikutuksiltaan vastannut kokonaisen asiakasrekisterin luovuttamista. 

2.4.2  Euroopan unionin tuomioistuin

Euroopan unionin tuomioistuin (viides jaosto) on ennakkoratkaisussaan 24.2.2022 asiassa C-175/20 ”SS” SIA vastaan Valsts ieņēmumu dienests arvioinut tietosuoja-asetuksen henkilötietojen käsittelylle asettamia vaatimuksia verotusta varten kerättävien tietojen osalta. Tapauksessa Latvian hallinnollinen tuomioistuin on pyytänyt ennakkoratkaisua koskien tietosuoja-asetuksen tulkintaa. Latvian verohallinto oli pyytänyt Latviaan sijoittautunutta internetissä julkaistavia ilmoituksia koskevien palvelujen tarjoajaa palauttamaan verohallinnolle pääsyn yhtiön internetportaalissa julkaistun ilmoituksen kohteena olevien ajoneuvojen valmistenumeroihin ja myyjien puhelinnumeroihin. Unionin tuomioistuin on ratkaisussaan linjannut, että jäsenvaltion verohallinto ei voi poiketa tietosuoja-asetuksen 5 artiklan 1 kohdan säännöksistä silloin, kun oikeutta poikkeamiseen ei ole myönnetty sille kyseisen asetuksen 23 artiklan 1 kohdassa tarkoitetulla lainsäädäntötoimenpiteellä. Lisäksi tuomioistuin on todennut, että tietosuoja-asetuksen säännöksiä on tulkittava siten, etteivät ne ole esteenä sille, että jäsenvaltion verohallinto velvoittaa internetissä julkaistavia ilmoituksia koskevien palvelujen tarjoajan luovuttamaan sille tietoja verovelvollisista, jotka ovat julkaisseet ilmoituksia sen internetportaalissa. Tämä kuitenkin edellyttää, että tiedot ovat välttämättömiä tietojen keräämisen tarkoitusta varten, ja että ajanjakso, jolta tietoja kerätään, ei ole kestoltaan pidempi kuin on ehdottoman välttämätöntä yleistä etua koskevan tarkoituksen saavuttamiseksi. 

Tuomiossa on myös todettu, että käsittelyn perustana olevassa säännöstössä on säädettävä selkeistä ja täsmällisistä kyseessä olevan toimenpiteen ulottuvuutta ja soveltamista koskevista säännöistä, joissa asetetaan vähimmäisvaatimukset, jotta henkilöillä, joiden henkilötiedot ovat kyseessä, on riittävät takeet, joiden avulla näitä tietoja voidaan tehokkaasti suojata väärinkäytön vaaroilta. Kyseisen säännöstön on oltava kansallisen oikeuden mukaan laillisesti sitova ja siinä on erityisesti mainittava, missä olosuhteissa ja millä edellytyksin tällaisten tietojen käsittelyä koskeva toimenpide voidaan toteuttaa, jotta taataan, että puuttuminen rajoittuu täysin välttämättömään. Tuomion kohteen kaltaista luovutuspyyntöä sääntelevän kansallisen säännöstön on perustuttava objektiivisiin kriteereihin niiden olosuhteiden, joissa tiedon luovuttajan on siirrettävä käyttäjiään koskevia henkilötietoja, ja niiden edellytysten määrittelemiseksi, joiden mukaisesti sen on tehtävä niin. Euroopan unionin tuomioistuimen tuomio 24.2.2022 – Asia C-175/20. 

Euroopan unionin tuomioistuin (suuri jaosto) on ennakkoratkaisussaan 24.6.2021 asiassa C-439/19 Latvijas Republikas Saeima arvioinut ennakkoratkaisukysymystä sen osalta, onko yleisen tietosuoja-asetuksen säännöksiä tulkittava niin, että ne ovat esteenä kansalliselle lainsäädännölle, jossa julkishallinnon elimelle, joka vastaa rekisteristä, johon merkitään liikennerikkomuspisteet, joita ajoneuvojen kuljettajille määrätään tieliikennerikkomuksista, asetetaan velvollisuus luovuttaa kyseiset tiedot jokaiselle, joka niitä pyytää, ilman että kyseisen henkilön on perusteltava erityistä intressiä saada mainitut tiedot. Tuomioistuin on todennut ratkaisussaan, että kaikessa henkilötietojen käsittelyssä on yhtäältä noudatettava tietojen käsittelyä koskevia periaatteita, jotka mainitaan yleisen tietosuoja-asetuksen 5 artiklassa, ja toisaalta sen osalta on täytyttävä jonkin tietojen käsittelyn laillisuutta koskevista periaatteista, jotka luetellaan mainitun asetuksen 6 artiklassa. Tuomioistuimen ratkaisun mukaisesti henkilötietojen käsittelyssä on otettava huomioon myös muut mainitun asetuksen 5 artiklan 1 kohdassa säädetyt periaatteet ja erityisesti kyseisen säännöksen c alakohdassa mainittu ”tietojen minimoinnin” periaate, jonka mukaan henkilötietojen on oltava asianmukaisia ja olennaisia ja ne on rajattava siihen, mikä on tarpeen niitä tarkoituksia varten, joita varten niitä käsitellään, mikä on ilmaus mainitusta suhteellisuusperiaatteesta. Euroopan unionin tuomioistuimen tuomio 24.6.2021 – Asia 439/19. 

2.4.3  Tietosuojavaltuutettu

Tietosuojavaltuutettu on 11.11.2022 antanut päätöksen (Dnro 3681/186/21) vertailutietotarkastusten toteuttamisen yhteydessä käsiteltävien henkilötietojen rajaamisesta. Päätöksessään tietosuojavaltuutettu on katsonut, ettei Verohallinto ole rajannut vertailutietotarkastusten toteuttamisen yhteydessä käsiteltyjen henkilötietojen määrää käsittelyn tarkoituksen kannalta välttämättömään. Henkilötietojen käsittelyä ei sen vuoksi ole katsottu oikeasuhtaiseksi sillä tavoiteltuun päämäärään nähden. Tietopyynnöt ja niiden seurauksena suoritettu henkilötietojen käsittely eivät näin ollen ole täyttäneet tietosuoja-asetuksen vaatimuksia henkilötietojen minimoinnista ja oletusarvoisesta tietosuojasta eivätkä tietosuojalain edellytyksiä henkilötietojen käsittelyn oikeasuhtaisuudesta viranomaisen toiminnassa yleisen edun mukaisen tehtävän suorittamiseksi. Päätöksessään tietosuojavaltuutettu on lisäksi kiinnittänyt huomiota siihen, ettei vertailutietotarkastusta koskeva verotusmenettelylain säännös ole ollut perustuslakivaliokunnan arvioitavana. Tietosuojavaltuutetun päätöksessä on viitattu edellä käsiteltyihin korkeimman hallinto-oikeuden ja Euroopan unionin tuomioistuimen ratkaisuihin. Ks. tarkemmin tietosuojavaltuutetun päätös 11.11.2022, Dnro 3681/186/21. 

Tapauksessa tietosuojavaltuutettu on selvittänyt yleisemmin Verohallinnon vertailutietotarkastuksissa esittämän tietopyynnön ja vertailutietotarkastuksiin liittyvän henkilötietojen käsittelyn lainmukaisuutta Finanssiala ry:n ja Verohallinnon kanssa asiasta käymiensä keskustelujen sekä Finanssiala ry:n tietosuojavaltuutetulta vertailutietotarkastuksesta pyytämän kannanoton perusteella. Verohallinnon asiassa toimittamien selvitysten perusteella se on pyytänyt vertailutietotarkastusta varten pankeilta tietoja Suomen rajat ylittävien tilisiirtojen osalta muun muassa maksun määrästä, maksun päivämäärästä, maksun suorittajasta sekä saajasta. Tietopyyntö on kattanut kaikki tiliä veloittavat tai hyvittävät tapahtumat. Tietopyyntöjä on osoitettu useille pankeille eri vuosina vertailutietotarkastuksia varten.  

Verohallinto on selvityksissään tuonut esille, että kaikki kerätty tieto ei johda verovalvontatoimenpiteisiin, eikä se myöskään ole vertailutietotarkastuksen tavoite. Kaikki kerätyt tiedot kuitenkin analysoidaan. Tietojen käsittelyn seurauksena valikoidaan osa tiedoista tarkempaan jatkokäsittelyyn vertailutietotarkastuksessa selvitettävänä olevien riskien esiin nostamiseksi. Tutkittava veroriski voi olla esimerkiksi ulkomailta saadun palkkatulon salaaminen tai puutteellinen ilmoittaminen. Kun vertailutietotarkastus toteutetaan, ei ole vielä määritetty asiakaskohtaisesti vertailutietojen perusteella toteutettavia valvonta- tai ohjauskeinoja. Tiedossa ei myöskään vielä tuolloin ole, minkä asiakkaiden tiedot vaativat tarkempaa selvittämistä sekä valvonta- tai ohjaustoimenpiteitä. Tietojenkäsittely on prosessi, jossa tietoja poimitaan ja haetaan aineistosta ja vertaillaan niitä määritellyn asiakasjoukon verotustietoihin. Analysoinnin avulla saadaan tietojoukosta esille toimenpiteitä vaativat asiakkaat ja samalla rajattua jatkotoimien ulkopuolelle ne asiakkaat, joiden verotus on kunnossa. Lisäksi vertailutietotarkastusten avulla myös varmistetaan, että verovelvolliset ovat ilmoittaneet tulonsa oikein. 

Tietosuojavaltuutetun näkemyksen mukaan Verohallinnon tulisi minimointiperiaatetta ja oikeasuhtaisuusvaatimusta noudattaakseen hyödyntää tietojen myöhemmässä analysointivaiheessa käyttämiään kriteerejä jo siinä vaiheessa, kun tietopyyntö tehdään. Tietosuojavaltuutetun mukaan Verohallinto pyytää vertailutietotarkastuksissa jo lähtökohtaisesti liian laajasti tietoja, joita rajataan tarkastuksen kohteen kanssa käytävien neuvotteluiden perusteella sekä tietojen keräämisen jälkeen käynnistettävän Verohallinnon analyysityön kautta. 

Tietosuojavaltuutetun päätöksessä on tuotu esille, että tietosuoja-asetuksen 23 artiklan mukaan jäsenvaltioiden lainsäädännössä voidaan lainsäädäntötoimenpiteellä rajoittaa niiden velvollisuuksien soveltamisalaa, joista säädetään kyseisen asetuksen 5 artiklassa, siltä osin kuin kyseiset säännökset vastaavat 12–22 artiklassa säädettyjä oikeuksia ja velvollisuuksia. Kyseisessä rajoituksessa on kuitenkin keskeisiltä osin noudatettava perusoikeuksia ja -vapauksia ja sen on oltava demokraattisessa yhteiskunnassa välttämätön ja oikeasuhteinen toimenpide, jotta voidaan taata jäsenvaltion yleiseen julkiseen etuun liittyviä tärkeitä tavoitteita, kuten erityisesti tärkeä taloudellinen tai rahoituksellinen etu, mukaan lukien verotukseen liittyvät asiat. Tietosuojavaltuutettu on katsonut, että tietosuoja-asetuksen 23 artiklan kuvaamalle lainsäädännössä asetettavalle rajoitukselle on 23 artiklan mukainen peruste. Merkittävää kuitenkin on, ettei nykyiseen kansalliseen lainsäädäntöön sisälly 23 artiklan asettamat edellytykset täyttävää oikeutta poikkeamiseen. 

Lisäksi tietosuojavaltuutettu on kiinnittänyt huomiota tietosuoja-asetuksen 25 artiklasta seuraavan oletusarvoisen tietosuojan asettamiin vaatimuksiin. Tietosuojavaltuutetun mukaan henkilötietojen minimointiin tähtääviä toimenpiteitä suunnitellessaan Verohallinnon olisi tullut huomioida laajemmin, että kyseessä olevan tietopyynnön johdosta suoritetuissa käsittelytoimissa on kyse yksityiselämän suojan ydinalueelle kuuluvien arkaluonteisten tietojen laajamittaisesta käsittelystä, jolla voi olla merkittäviä vaikutuksia rekisteröityjen oikeuksille ja vapauksille. Tietosuojavaltuutettu on myös tuonut päätöksessään esille tietosuoja-asetuksen johdanto-osan 31 kappaleen, jonka mukaan viranomaisten lähettämien tietopyyntöjen tulisi olla kirjallisia, perusteltuja ja satunnaisia, eikä niiden pitäisi koskea kokonaista rekisteriä tai johtaa rekisterien yhteen liittämiseen. Tietosuojavaltuutettu on päätöksessään katsonut, ettei Verohallinnon tietopyyntöjä voida pitää satunnaisina, eikä henkilötietojen käsittelyä kaikilta osin perusteltuna, sillä Verohallinto on esittänyt pankeille vastaavan sisältöisiä tietopyyntöjä vuosittain vuosien 2015–2021 aikana. 

Tietosuojavaltuutettu on edellä tiivistetyin perustein katsonut, ettei Verohallinto ole rajannut vertailutietotarkastusten toteuttamisen yhteydessä käsiteltyjen henkilötietojen määrää käsittelyn tarkoituksen kannalta välttämättömään. Henkilötietojen käsittelyä ei sen vuoksi ole pidetty myöskään oikeasuhtaisena sillä tavoiteltuun päämäärään nähden. Tästä johtuen Verohallinnon esittämät tietopyynnöt, jotka ovat koskeneet kaikkia Suomen rajat ylittäviä tilisiirtoja, sekä niiden johdosta suoritettu henkilötietojen käsittely, eivät täytä yleisen tietosuoja-asetuksen 5 artiklan 1 kohdan c alakohdan ja 25 artiklan 2 kohdan eivätkä tietosuojalain 4 §:n 2 kohdan mukaisia edellytyksiä. 

4.2.1  Taloudelliset vaikutukset julkiseen talouteen

Esityksen arvioidaan kasvattavan verotuottoja yhteensä noin 100 miljoonaa euroa vuositasolla. Vaikutusarvio perustuu Verohallinnon tekemään arvioon. Esitystä on tarkennettu lausuntokierroksen jälkeen. Vertailutietotarkastuksen soveltamisen edellytyksenä oleva tietopyyntöjen kohdentaminen verovalvonnassa välttämättömiin tietoihin lisää vertailutietotarkastusten työmäärää sekä Verohallinnossa että tiedonantovelvollisissa. Tällä voi olla vaikutusta siihen, kuinka nopeasti tavoiteltu tehokkuus saavutetaan.  

Verohallinnon aiempina vuosina vertailutietotarkastuksilla saadun aineiston perusteella tekemien verotarkastusten, verotuksen oikaisujen, kiinteiden toimipaikkojen valvonnan sekä harmaan talouden tarkastusten perusteella hyötyjen arvioidaan olevan noin 20 miljoonaa euroa vuodessa. Lisäksi vuositasolla muodostuu noin 80 miljoonaa euroa hyötyjä eri veroriskien verovajearvioista, jotka perustuvat sellaisten veroriskien laajuuteen, joiden valvonnassa rajat ylittävää rahaliikennettä koskevasta vertailutiedosta olisi hyötyä. Nämä liittyvät tyypillisesti ilmoittamattomiin tuloihin tai ulkomaisten finanssitoimijoiden käyttämiseen kotimaisen liiketoiminnan rahaliikenteessä. Verohallinto ei ole seurannut valvonnan tuloksia vertailutietoaineistokohtaisesti, koska vertailutiedot eivät ole sinänsä olleet valvottava riski tai ilmiö. Tunnistettuihin riskeihin liittyviin vertailutietoihin ei ole suoraan liitettävissä valvontatuloksia, vaan verovajeen ja vertailutietojen potentiaalisen vaikutuksen määrä on tehty asiantuntija-arviona. Verovajeen pienenemiseen vaikuttaa myös tietoisuus vertailutietojen saatavuudesta ja hyödyntämisestä verovalvonnan suuntaamiseksi sekä valvonnan toteuttamiseksi. Tämä vaikuttaa asiakaskäyttäytymiseen ja ilmoittamiseen verovajetta pienentävästi erityisesti rajat ylittävän rahaliikenteen tilanteissa. 

Verotuottojen arvioitu 100 miljoonan euron kasvu jakautuisi eri verolajeille seuraavasti: 

Ansiotulovero: 8 miljoonaa euroa 

Pääomatulovero: 11 miljoonaa euroa 

Yhteisövero: 41 miljoonaa euroa 

Arvonlisävero: 37 miljoonaa euroa 

Perintö- ja lahjavero: 3 miljoonaa euroa 

Lisäksi esityksellä voi olla vähäisiä vaikutuksia muihin välillisiin veroihin sekä lähdeveroon. 

Verotuottojen jakautumisesta valtion osuuden arvioidaan olevan noin 89 miljoonaa euroa ja kuntien noin 11 miljoonaa euroa. Vaikutukset muihin veronsaajiin olisivat vähäiset. Koska esityksessä ei muuteta veroperusteita, sen vaikutuksia ei kompensoida kunnille. 

Muutos ehdotetaan tulevan voimaan vuonna 2026, mutta sen verotuottovaikutukset toteutuvat viiveellä. Verotuottojen arvioidaan kasvavan vuonna 2027 noin 50 miljoonalla eurolla eli noin puolella muutoksen kokonaisvaikutuksesta. Täysimääräinen 100 miljoonan euron vuosittainen verotuotto toteutuisi vuodesta 2028 alkaen. 

4.2.2  Vaikutukset viranomaisten toimintaan

Vertailutietotarkastusta koskevan säännöksen muutokset turvaisivat Verohallinnolle tehokkaan verovalvonnan ja harmaan talouden torjunnan kannalta riittävän tietojensaannin vertailutietotarkastusten toimittamisessa. Verohallinto voisi lakiin kirjatusti jatkossa käsitellä vertailutietotarkastuksissa laajoja tietoaineistoja, joiden perusteella voidaan valvoa verovelvoitteiden noudattamista sellaisten tietojen perusteella, joita Verohallinto ei saa säännönmukaisesti. Ehdotus ei kuitenkaan laajentaisi vertailutietotarkastuksessa jo nykyisin käsiteltäviä henkilötietoryhmiä, vaan ne olisivat samoja, joita Verohallinto käsittelee veroilmoitusten ja muiden ilmoitusten perusteella. Lisäksi erikseen säädettäisiin vertailutietotarkastusten yhteydessä Verohallinnon oikeudesta käsitellä erityisiin henkilötietoryhmiin kuuluvia tietoja laajan tietoaineiston yhteydessä. Kyseessä olisi lähinnä nykytilaan tehtävä täsmennys, sillä Verohallinto käsittelee nykyisinkin vastaavia erityisiin henkilötietoryhmiin kuuluvia tietoja verotuksessa ja myös vertailutietotarkastusten yhteydessä. 

Laajan tietoaineiston ja erityisiin henkilötietoryhmiin kuuluvien tietojen käsittelyn tietosuojaoikeudellisista vaatimuksista johtuen säädettäisiin Verohallinnolle nimenomainen velvollisuus toteuttaa vertailutietotarkastuksissa erityisiä suojatoimenpiteitä henkilötietojen turvaamiseksi. Verohallinnon tulisi nimetä ja myöntää erikseen virkamiehelle lupa osallistua tietojenkäsittelyyn vertailutietotarkastuksessa. Lisäksi vertailutietoja käsittelevän virkamiehen tulisi olla erittäin luotettava ja hänellä edellytettäisiin olevan asianmukainen osaaminen laajan tietoaineiston eettiseen käsittelyyn. Vaatimukset edellyttäisivät Verohallinnolta työnantajana nykyistä täsmällisempää menettelyä ja dokumentoitua prosessia vertailutietoja käsittelevän henkilöstön osalta. Verohallinnon tulisi järjestää koulutusta ja perehdytystä vertailutietoja käsittelevälle henkilöstölle tietojenkäsittelyn erityispiirteistä ja tietosuojan käsittelylle asettamista vaatimuksista. 

Verohallinnon tulisi myös huolehtia teknisten ja organisaatioon liittyvien toimenpiteiden avulla, että tietoturva toteutuu vertailutietojen käsittelyssä teknisesti korkeatasoisesti. Lisäksi tietoaineiston käsittelyssä on huolehdittava siitä, että verotuksessa tarpeettomat tiedot hävitetään heti. 

Sääntelyllä ei arvioida olevan vaikutuksia muiden viranomaisten toimintaan. 

4.2.3  Vaikutukset yksityiselämän ja henkilötietojen suojaan

Verohallinnon vertailutietotarkastuksilla saamat yksittäistä tunnistettavissa olevaa verovelvollista koskevat tiedot ovat salassa pidettäviä verotustietojen julkisuudesta ja salassapidosta annetun lain nojalla. Verotustietojen salassapito suojaa luonnollisten henkilöiden henkilötietoja ja oikeushenkilöiden luottamuksellisia tietoja. 

Ehdotuksessa täsmennetään Verohallinnon oikeutta käsitellä suurta ja yksilöimätöntä määrää henkilötietoja, joiden määrä on rajattu. Laissa säädettäisiin tiedonantovelvollisen velvollisuudesta antaa Verohallinnolle vertailutietotarkastuksella rajattu määrä luonnollista henkilöä koskevia tietoja, kun pyynnössä ei ole erikseen tai nimenomaisesti yksilöity niitä luonnollisia henkilöitä, joihin käsittely tulee kohdistumaan. Vertailutietotarkastus olisi aina perusteltu ja tarkoituksena olisi saada verovalvonnan kannalta välttämättömiä tietoja sellaisesta taloudellisesta toiminnasta, johon liittyy merkittävä riski verovelvoitteiden laiminlyönnistä. Luonnollisten henkilöiden suojan kannalta merkityksellistä olisi Verohallinnon oikeus saada riskiperusteisella rajauksella laajasti tietoja. Vaikka Verohallinnon on rajattava tietopyyntö vain verovalvonnassa välttämättömiin tietoihin, tietoaineisto voi sisältää myös sellaisia henkilötietoja, joita ei käytetä verotusta koskevassa päätöksessä sekä sellaisia tietoja, jotka eivät liity verotuksessa merkityksellisiin taloudellisiin tapahtumiin. Ehdotetulla sääntelyllä on siten merkittäviä vaikutuksia yksityiselämän ja henkilötietojen suojaan. Esityksen suhdetta yleiseen tietosuoja-asetukseen ja perusoikeuksien suojaan arvioidaan tarkemmin kohdassa 10.  

Verotuksessa ja vertailutietotarkastuksella ei ole lähtökohtaisesti tarpeellista käsitellä tietosuoja-asetuksen 9 artiklassa tarkoitettuihin erityisiin henkilötietoryhmiin kuuluvia tietoja. Käytännössä säännönmukainen tarve välittömälle käsittelylle voi muodostua käsiteltäessä ammattiyhdistyksen jäsenmaksutietoa tai jos veronmaksukyvyn alentumisvähennyksen taikka verohuojennuksen saamiseksi vedotaan esimerkiksi terveydelliseen seikkaan. Verotuksessa voi kuitenkin tapahtua erityisten henkilötietoryhmien käsittelyä esimerkiksi silloin, kun henkilöön liittyvä taloudellinen tapahtuma paljastaa esimerkiksi terveydenhuoltoon liittyvän palvelun käyttämisen. Silloin, kun vertailutietotarkastus kohdistuu tietoihin, jotka kuvaavat luonnollisen henkilön taloudellisia tapahtumia, voi joissain tilanteissa paljastua myös erityisiin henkilötietojen ryhmiin kuuluvia tietoja. Näissä tilanteissa tietoja käsitellään huolellisesti. Verohallinnolla on kuitenkin verovalvonnassa välttämätöntä käsitellä myös tällaisia tietoja esimerkiksi silloin, kun verovalvonnan kohteena ovat terveydenhuollon toimijat tai silloin, kun verovalvonnassa arvioidaan luonnollisen henkilön maksuliikennettä. Vertailutietotarkastusta ei kuitenkaan koskaan toteuteta siinä tarkoituksessa, että kerättäisiin nimenomaisesti erityisiin henkilötietojen ryhmiin kuuluvia tietoja.  

Ehdotetussa verotusmenettelylain 21 §:n 4 momentissa säädettäisiin erityisistä vaatimuksista vertailutietojen käsittelyssä yleisen tietosuoja-asetuksen 25 ja 32 artiklojen mukaisten vaatimusten lisäksi. Näillä vaatimuksilla lisättäisiin tietojen käsittelyn turvallisuutta ja turvattaisiin rekisteröidyn oikeuksia ja vapauksia vähentämällä riskiä siitä, että vertailutietotarkastus toteutettaisiin liian laajana tai verotuksessa käytettäisiin sellaisia tietoja, jotka eivät olisi välttämättömiä, tai Verohallinnon henkilöstö käyttäisi vertailutietotarkastuksella saatuja tietoja johonkin muuhun kuin verotusta koskevaan tarkoitukseen.  

Rekisteröidyllä olisi oikeus saada tietoja henkilötietojen käsittelystä. Verohallinto voisi kuitenkin rajoittaa käsittelystä kertomista siltä osin kuin tietojen antaminen vaarantaa verotusta koskevan valvontatoimenpiteen. Tietojen antamisen rajoittamisessa sovellettaisiin harkinnan varaisesti viranomaisten toiminnan julkisuudesta annetun lain 11 §:n 2 momentissa säädettyä oikeutta kieltäytyä tietojen antamisesta asianosaiselle, jos tietojen antaminen vaarantaa erittäin tärkeän yleisen edun, kuten verovalvonnan tarkoituksen, sekä yleisen tietosuoja-asetuksen 23 artiklan ja kansallisen tietosuojalain 34 §:n 1 momentin 3 kohtaa, jonka mukaisesti rekisteröidyllä ei ole tietosuoja-asetuksen 15 artiklassa tarkoitettua oikeutta tutustua hänestä kerättyihin tietoihin, jos henkilötietoja käytetään valvonta- ja tarkastustehtävissä ja tiedon antamatta jättäminen on välttämätöntä Suomen tai Euroopan unionin tärkeän taloudellisen tai rahoituksellisen edun turvaamiseksi. Luonnollisen henkilön tiedolliset oikeudet voidaan toteuttaa sen jälkeen, kun tietojen antaminen ei enää vaaranna verovalvontaa.  

Tietosuojalain 34 §:n 4 momentin mukaisesti, jos rekisteröidyllä ei ole oikeutta tutustua hänestä kerättyihin tietoihin, yleisen tietosuoja-asetuksen 15 artiklan 1 kohdassa tarkoitetut tiedot on annettava tietosuojavaltuutetulle rekisteröidyn pyynnöstä. Siten tietosuojavaltuutettu voi pyynnöstä tarkastaa rekisteröityä koskevien tietojen lainmukaisuuden silloinkin, kun rekisteröity itse ei voi käyttää tarkastusoikeutta. Jos rekisteröity katsoo, että viranomainen rikkoo henkilötietojen käsittelyä koskevaa lakia, rekisteröidyllä on myös oikeus saattaa asia tietosuojavaltuutetun käsiteltäväksi. 

Muiden rekisteröidyn oikeuksien kannalta voidaan todeta, että luonnollisen henkilön tietoja käsitellään verotusta koskevissa tehtävissä, ja oikeusperusteesta säädetään laissa. Jos sivulliselta saatu tieto on verovelvollisen käsityksen mukaan virheellinen, verovelvollinen voi ilmoittaa sen Verohallinnolle kuulemisen yhteydessä, jolloin asia voidaan selvittää ennen verotustoimenpiteitä. Lisäksi verovelvollisella on käytössään verotuksen muutoksenhakukeinot. Tietojen poistamisen ja käsittelyn rajoittamisen kohdalla on otettava huomioon, että sivulliselta saatavia tietoja käytetään laissa säädetyissä verotustehtävissä ja tietojen käyttö verovalvonnassa on tärkeää unionin tai jäsenvaltion yleistä etua koskevista syistä. Verohallinnolla on oikeus kieltäytyä toteuttamasta näitä oikeuksia koskevia vaateita. Vastaavasti henkilöllä ei ole oikeutta vastustaa tietojensa käsittelyä vertailutietotarkastuksessa, koska koko käsittelyn peruste on tietojen välttämättömyys yksittäisessä verovalvonnan tilanteessa ja vastustamisoikeuden toteuttaminen vaarantaa verotusmenettelylain 26 §:n mukaisen oikean ja yhdenmukaisen verotuksen. Henkilötietojen käsittelyyn on olemassa huomattavan tärkeä ja perusteltu syy, joka syrjäyttää rekisteröidyn edut, oikeudet ja vapaudet.  

Ehdotettu säännös rajoittaisi rekisteröidyn oikeuksia ja lisäisi Verohallinnossa käsiteltävien henkilötietojen määrää. Siten ehdotettu sääntely voi lisätä henkilötietojen suojaan liittyviä riskejä. Toisaalta ehdotettu sääntely täyttäisi tietosuojasääntelyn vaatimukset käyttäen tietosuoja-asetuksen mahdollistamaa kansallista liikkumavaraa, kohdentaisi Verohallinnon pyytämät tiedot vain verovalvonnassa välttämättömiin tietoihin ja myös erityisten henkilötietoryhmien tietojen käsittelystä olisi säädetty. Ehdotetut suojatoimet turvaisivat luonnollisten henkilöiden henkilötietojen asianmukaista käsittelyä. Muutoinkin nykyistä tarkkarajaisempi vertailutietojen hankintaa koskeva säännös selkeyttäisi henkilötietojen käsittelyn edellytykset vertailutietotarkastuksissa. Siten sääntelymuutokseen arvioidaan sisältyvän henkilötietojen suojan kannalta myös myönteisiä vaikutuksia.  

4.2.4  Vaikutukset vertailutietotarkastuksen kohteena oleville tiedonantovelvollisille

Vertailutietotarkastusten nykyiseen oikeustilaan liittyy myös tiedonantovelvollisten näkökulmasta epävarmuuksia, jotka johtuvat sääntelyn yleisluonteisuudesta ja viimeaikaisista tietosuojatulkinnoista. Ehdotuksen myötä vertailutietotarkastuksista ja pyyntöjen kohdentamisesta säädettäisiin tarkkarajaisemmin kuin nykytilassa. Tämän odotetaan vähentävän Verohallinnon ja tiedonantovelvollisten tulkintaerimielisyyksiä siitä, ovatko Verohallinnon pyynnöt tietosuojasääntelyn mukaisia, mikä johtaisi tältä osin hallinnollisen työn ja kustannusten vähenemiseen. Silloin, kun vertailutietotarkastus toteutetaan ehdotetun sääntelyn mukaisesti, Verohallinto vastaa siitä, että henkilötietojen käsittelyn laajuus on lain mukaista. Vertailutietotarkastuksista aiheutuu tiedonantovelvollisille kustannuksia.  

Ehdotetun sääntelyn mukaisiin tietopyyntöihin vastaaminen voi aiheuttaa jonkin verran aiempaa enemmän työtä, koska pyynnöt ovat tarkasti kohdennettuja verovalvonnassa välttämättömiin tietoihin. Siten vaikutusten tiedonantovelvollisille arvioidaan olevan jonkin verran kustannuksia lisääviä. Ehdotetut muutokset tarkoittaisivat myös sitä, että tiedonantovelvollisen on pidettävä salassa vertailutietotarkastuksessa esitetyt tietopyynnöt, koska ne saattavat sisältää tietoja, joiden julkiseksi tulo voisi vaarantaa verovalvonnan tarkoituksen toteutumisen. 

5.1.1  Yleistä

Vertailutietotarkastusta koskevan säännöksen täsmentäminen sekä tietojenkäsittelyn suojatoimien luominen perustuvat Harmaan talouden ja talousrikollisuuden torjunnan toimenpideohjelmaan 2024–2027, johon sisältyy Verohallinnon tietojensaannin turvaamista koskeva hanke. Vaihtoehtoina ehdotetulle sääntelyn täsmentämiselle ja suojatoimille on valmistelun yhteydessä arvioitu mahdollisuutta jatkossakin toimia nykyisen sääntelyn puitteissa ja sen luomin toimivaltuuksin. Lisäksi on tarkasteltu mahdollisuutta säätää pankeille ja maksulaitoksille uusi tiedonantovelvollisuus niiden välittämistä rajat ylittävistä suorituksista. 

5.1.2  Nykytilassa toimiminen

Edellä luvussa 2.4 käsitellyt korkeimman hallinto-oikeuden ja tietosuojavaltuutetun linjaukset merkitsevät, että Verohallinnon tulisi muuttaa vertailutietotarkastusten toteutusta ja varmistua, että tietojen kerääminen on oikeasuhtaista ja rajoittuu verotuksessa merkityksellisiin tietoihin. Linjaukset eivät kuitenkaan merkitse, että vertailutietotarkastukset sinänsä olisivat tietosuojasääntelyn vastaisia. Mikäli vertailutietotarkastuksia tulevaisuudessa tehtäisiin nykyistä sääntelyä muuttamatta, tulisi korkeimman hallinto-oikeuden ja tietosuojavaltuutetun ratkaisujen johdosta Verohallinnon tietopyynnöt kohdistaa ja rajata ainoastaan verotuksessa perustellusti tarpeellisiin tietoihin. Tiedonantovelvollisen ei myöskään tulisi joutua käsittelemään sellaisia tietoja, joita ei tarvita verotuksessa. 

Näin ollen nykytilassa toimiminen tarkoittaisi, että vertailutietotarkastukset toimitettaisiin huomattavasti aiempaa rajatumpina ja suppeampina, eikä tämä vastaisi vertailutietotarkastusta koskevan nykyisen sääntelyn tarkoitusta. Verohallinto ei saisi verovalvonnan kannalta välttämättömiä tietoja vertailutietotarkastusten kautta. Nykytilan pysyttäminen ei näin ollen myöskään paikkaisi sitä verovajetta, joka tietosuojasääntelyn johdosta on vertailutietotarkastusten muuttuneen laajuuden myötä viime vuosina syntynyt.  

Koska nykyinen vertailutietotarkastusta koskeva säännös on yleisluonteinen ja Verohallinnon vertailutietotarkastuksissa osoittamat tietopyynnöt perustuvat mainitun säännöksen ja tietosuojasääntelyn tulkintaan, vertailutietotarkastuksia koskeva oikeustila jäisi edelleen epäselväksi, ja tiedonantovelvolliset saattaisivat käynnistää tietopyyntöihin liittyen uusia valitusprosesseja. Verohallinto ei välttämättä saisi myöskään rajatummin pyytämiään vertailutietoja kaikilta toimijoilta, mikä osaltaan vaikeuttaisi verovalvontatoimien suunnittelua ja toteuttamista. Vertailutietotarkastuskäytäntöön jäisi tietosuojalinjauksista sekä nykyisen sääntelyn väljyydestä johtuen tulkinnanvaraisuutta, mitä ei verotuksen yhdenmukaisuuden, ennustettavuuden ja verovelvollisten tasapuolisen kohtelun vaatimusten näkökulmasta voida pitää suotavana. Edellä selvitettyyn viitaten nykytilassa toimimista ei voida pitää perusteltuna vaihtoehtona vertailutietotarkastusten tehokkaan toteuttamisen ja henkilötietojen suojan varmistamiseksi. 

5.1.3  Uudet tiedonantovelvollisuudet luottolaitoksille rajat ylittäviin suorituksiin

Esityksessä on lisäksi tarkasteltu vaihtoehtona mahdollisuutta säätää luottolaitoksille säännöllinen tiedonantovelvollisuus niiden välittämistä rajat ylittävistä maksusuorituksista. Maksunvälittäjien tiedonantovelvollisuus tehostaisi erityisesti rajat ylittäviin maksuihin liittyvien riskien selvittämistä ja niihin puuttumista.  

Luottolaitosten tiedonantovelvollisuus voisi mahdollistaa Verohallinnolle riittävän tietopohjan keräämisen niin varhaisessa vaiheessa, että tietoja voitaisiin hyödyntää säännönmukaisessa verotuksessa. Tämä edellyttäisi kuitenkin, että tiedonantovelvollisuus olisi ennemminkin kuukausittainen kuin vuosittainen. Tiedonantovelvollisuus todennäköisesti myös voisi edistää jo itsessään verotusta koskevien velvoitteiden oma-aloitteista hoitamista ja vähentää jälkikäteisen verovalvonnan tarvetta. 

Yritysten raportointivelvoitteet ovat viime vuosina lisääntyneet merkittävästi. Säännöllinen, esimerkiksi kuukausittainen tiedonantovelvollisuus, olisi täten uusi velvoite luottolaitoksille ja näin ollen siihen liittyisi selvitettäviä asioita muun muassa luottolaitosten hallinnolliseen taakkaan ja sääntelyn mahdollisesti aiheuttamiin kustannuksiin liittyen. Lisäksi tulisi tarkasti arvioida tiedonantovelvoitteen suhde kansainvälisiin tiedonvälitysmekanismeihin ja velvoitteisiin. Säännöllinen tiedonantovelvollisuus ei myöskään sellaisenaan poistaisi raportoitavien tietojen minimointiin liittyviä haasteita, joihin tietosuojaa koskevassa tulkintakäytännössä on vertailutietotarkastusten osalta kiinnitetty huomiota. Säädettäessä uutta raportointivelvoitetta tulisi luoda mekanismi minimointiperiaatteen noudattamiseksi henkilötietojen käsittelyssä. 

Vaihtoehtona säännölliselle raportointivelvollisuudelle olisi luottolaitoksille säädetty velvoite tunnistaa ja ilmoittaa Verohallinnolle sellaiset tilitapahtumat, jotka liittyvät verotuksellisesti merkityksellisiin tapahtumiin. Nykyisin ilmoitusvelvollisuus koskee lähinnä finanssialan tarjoamia taloudellisia palveluita, kuten esimerkiksi arvopaperikauppoja. Lisäksi luottolaitoksilla on velvollisuus raportoida Suomen ja Yhdysvaltojen väliseen verotietojen vaihtoa koskevaan FATCA-sopimukseen (SopS 25/2015) perustuen verotukselliseen asuinpaikkaan sekä varallisuuteen ja tuloihin liittyviä tietoja asiakkaistaan, joiden verotuksellinen asuinvaltio on Yhdysvallat. Samaten OECD:n finanssitilejä koskevan kansainvälisen automaattista tietojenvaihtoa koskevan standardin, Common Reporting Standard (CRS), ja siihen perustuvaa tietojenvaihtoa toteuttavan neuvoston direktiivin 2014/107/EU direktiivin 2011/16/EU muuttamisesta siltä osin kuin on kyse pakollisesta automaattisesta tietojenvaihdosta verotuksen alalla, niin sanotun DAC2-direktiivimuutoksen, johdosta finanssilaitoksille on asetettu velvollisuus antaa asiakkaidensa verotuksellista asuinvaltiotietoa sekä varallisuus- ja tulotietoja. Kuitenkin velvoite ilmoittaa esimerkiksi rajat ylittäviä verotusta koskevia tilitapahtumia olisi uusi ja voisi vaikuttaa merkittävästi pankkien toimintaan. Toimiessaan velvoite olisi tehokas ja kohdistuisi tietosuojasääntelyn mukaisesti sellaisiin tietoihin, joilla on merkitystä verotuksessa. Verotuksessa merkityksellisten tilitapahtumien tunnistaminen saattaisi kuitenkin olla luottolaitoksille käytännössä vaikeaa, koska niillä ei ole käytettävissä samoja tietoja kuin Verohallinnolla. Tällä hetkellä esimerkiksi Verohallinto tunnistaa verotukseen vaikuttavat tapahtumat hyödyntämällä erilaisia analytiikan keinoja riskiperusteisesti tarkastelemalla maksajaa, maksun saajaa ja maksun perustetta koskevia tietoja.  

Luottolaitoksille asetettava velvoite tunnistaa tilitapahtumista verotuksen kannalta riskipitoiset tapahtumat ja raportoida ne Verohallinnolle voisi muodostua haasteelliseksi julkisen hallintotehtävän hoitamisen ja Verohallinnon lakisääteisten tehtävien näkökulmasta. Uusi raportointivelvoite saattaisi käytännössä merkitä julkisen hallintotehtävän siirtämistä Verohallinnolta luottolaitoksille, mitä ei olisi verovalvonnan näkökulmasta asianmukaista. Tämän lisäksi tulisi myös määritellä mekanismi raportointivelvoitteen valvomiselle. Verohallinnon tehtävänä on rajata tietopyynnöt sekä määrittää verovalvonnassa tarpeelliset tiedot, eikä näitä tehtäviä voi siirtää luottolaitoksille. 

Edellä esitetyn perusteella vertailutietotarkastukset katsotaan perustellummaksi tavaksi kerätä tarvittavat tiedot Verohallinnon käyttöön kuin uudet luottolaitosten raportointivelvoitteet. 

5.2.1  Yleistä

Valmistelun yhteydessä pyydettiin selvitystä lainsäädännöstä ja käytetyistä keinoista seuraavista maista: Ruotsi, Tanska, Norja, Viro, Latvia, Saksa, Iso-Britannia, Ranska, Italia ja Itävalta. Selvityksiä ei saatu Virosta, Ranskasta ja Italiasta. Saatujen selvitysten perusteella ainakin Ruotsissa, Tanskassa, Norjassa ja Latviassa on käytössä Suomen vertailutietotarkastusta muistuttavia menettelyitä. Muissakin maissa on käytössä menettelyitä, joilla voidaan saada tietoa sivullisilta, mutta ne muistuttavat Suomen vertailutietotarkastuksen sijaan lähemmin verotusmenettelylain 19 §:n sivullisen tiedonantovelvollisuutta, jossa on kysymys yksilöidyn verovelvollisen tietojen saamisesta. Lisäksi joissain maissa, kuten esimerkiksi Ruotsissa ja Latviassa, on käytössä menettelyitä, jotka velvoittavat pankkeja antamaan verohallinnoille säännönmukaisesti tietoa tietyt edellytykset täyttävistä tilisiirroista. 

5.2.2  Ruotsi

Ruotsissa on läheisesti Suomen vertailutietotarkastusta muistuttava menettely (generell tredjemansrevision), jossa kerätään valmistelutoimena tietoa muusta kuin tarkastuksen kohteesta. Ruotsin menettelyssä ei ole selvää, että kaikki tiedot johtaisivat toimenpiteisiin. Erityisesti suurempien tietopyyntöjen osalta kiinnitetään huomiota oikeasuhtaisuuteen. Ruotsin verohallinnon ohje: . I vilka syften får revision ske? | Rättslig vägledning | Skatteverket 

Ruotsin verotusmenettelystä annetun lain (2011:1244) 41 luvussa säädetään muun ohessa tällaisista Suomen vertailutietotarkastusta muistuttavista verotarkastuksista. Mainitun luvun 2 §:n 2 momentissa säädetään, että verovirasto voi päättää myös tarkastuksesta, jonka tarkoituksena on saada 1 momentin 1–4 kohtien tarkastuksen kannalta merkityksellisiä tietoja muusta kuin tarkastettavasta verovelvollisesta. Ensimmäisen momentin 1–4 kohdissa viitataan muun ohessa laajasti verovelvollisen erilaisten tulojen ja vähennysten ilmoittamiseen. Luvun 3 §:ssä säädetään 1–14 kohdissa, keneen verotarkastus voidaan kohdistaa. Kohdissa on mainittu esimerkiksi kirjanpitovelvolliset, muut oikeushenkilöt kuin kuolinpesät, rekisteröityneeksi hakeutuneet, ennakkoveron maksajiksi hakeutuneet sekä monia muita tilanteita. Luvun 4 §:n mukaan tarkastuksen tiedoista ei tarvitse käydä ilmi tarkastuksen kohteena olevaa henkilöä tai oikeustointa, jos henkilön tai oikeustoimen mainitsematta jättämiseen on erityisiä syitä. Saadun selvityksen perusteella tällainen erityinen syy voi olla esimerkiksi se, että tarkastus vaikeutuisi, jos nämä tiedot tulisi mainita.  

Ruotsin sääntely on tullut voimaan ennen yleistä tietosuoja-asetusta, eikä sitä ole muutettu yleisen tietosuoja-asetuksen johdosta. Tiedossa ei ole oikeuskäytäntöä, jossa olisi arvioitu, täyttääkö menettely yleisen tietosuoja-asetuksen edellytykset.  

5.2.3  Latvia

Latviassa on läheisesti Suomen vertailutietotarkastusta muistuttava menettely, jossa verohallinto voi suorittaa verotarkastuksen esimerkiksi pankkiin vain siinä tarkoituksessa, että verohallinto kerää tietoa, jota voidaan käyttää toisen verovelvollisen verotuksessa. Latvian säännöksistä osa on säädetty yleisen tietosuoja-asetuksen voimaantulon jälkeen. Säännösten tarpeellisuutta on arvioitu siten, että on saatu aikaan tasapaino yksityisyyden suojan, henkilötietojen suojan ja verohallinnon veronkantovelvollisuuden välillä. Pankkien ja muiden maksulaitosten toimittamien tietojen on katsottu olevan tarpeen sen varmistamiseksi, että verovelvollinen on ilmoittanut kaikki verotettavat tulot. Latvian menettelyä on käsitelty Unionin tuomioistuimen ratkaisussa 24.2.2022 asiassa C-175/20 ”SS” SIA vastaan Valsts ieņēmumu dienests, jota on käsitelty edellä kohdassa 2.4. 

5.2.4  Tanska

Tanskassa on läheisesti Suomen vertailutietotarkastusta muistuttava menettely. Olennaisena erona on kuitenkin se, että edellytyksenä on 19 maallikosta koostuvan veroneuvoston (Tax Council) lupa, jos tarkastus kohdistuu luonnollisiin henkilöihin tai oikeushenkilöihin, joiden nimiä verohallinto ei vielä tiedä. Veroneuvoston hyväksymä nimettömiä henkilöitä koskeva tiedonkeruu koskee siten niitä tapauksia, joissa verohallinto haluaa tehdä esimerkiksi satunnaisia tarkastuksia tai toimialatutkimuksia, joissa on kyse yhteen tai useampaan nimeämättömään henkilöön liittyvistä tiedoista. Tällainen henkilöryhmä voi olla esimerkiksi yrityksen asiakaskunta tai yrityksen toimittajat tilanteessa, jossa verohallinto ei tiedä etukäteen, kenen tiedoilla on merkitystä jatkoselvityksen kannalta. Tiedossa ei ole oikeuskäytäntöä, jossa olisi arvioitu, täyttääkö Tanskan menettely yleisen tietosuoja-asetuksen vaatimukset. 

5.2.5  Norja

Norjassa on läheisesti Suomen vertailutietotarkastusta muistuttava menettely, jossa kolmas osapuoli on velvollinen veroviranomaisten pyynnöstä antamaan tietoja, joilla voi olla merkitystä verovelvollisen verovelvollisuuden kannalta. Olennaisena erona on kuitenkin se, että tiedon keräämiselle tulee olla erityinen syy, jos veroviranomainen ei yksilöi sitä verovelvollista tai toimea, josta se pyytää tietoa. Tällaisissa tilanteissa tietoa voidaan kerätä vain yrityksiltä. Tiedossa ei ole oikeuskäytäntöä, jossa olisi arvioitu, täyttääkö Norjan menettely yleisen tietosuoja-asetuksen vaatimukset. Saadun selvityksen perusteella yleinen tietosuoja-asetus saattaa rajoittaa menettelyä. 

10.1.1  Yleistä henkilötietojen suojaa koskevasta sääntelystä

Vertailutietotarkastusta koskeva lakiehdotus on merkityksellinen perustuslain 10 §:ssä turvatun yksityiselämän ja henkilötietojen suojan kannalta. Henkilötietojen suoja kuuluu osana perustuslain 10 §:n 1 momentilla turvattuun yksityiselämän suojaan. Henkilötietojen suojasta on säädettävä lailla. Henkilötietojen suojaa toteutetaan ennen kaikkea tietosuoja-asetuksella sekä sitä täsmentävällä ja täydentävällä tietosuojalailla. 

Perustuslain 10 §:n mukaista suojaa täydentävät EU:n perusoikeuskirjan 7 artiklassa turvattu yksityiselämän suoja ja 8 artiklassa turvattu henkilötietojen suoja sekä ihmisoikeuksien ja perusvapauksien suojaamiseksi tehdyn yleissopimuksen (Euroopan ihmisoikeussopimus, SopS 18 ja 19/1990) 8 artiklan mukainen yksityiselämän suoja. Euroopan ihmisoikeussopimuksen 8 artiklan 1 kohdan mukaan jokaisella on oikeus nauttia yksityis- ja perhe-elämäänsä, kotiinsa ja kirjeenvaihtoonsa kohdistuvaa kunnioitusta. Artiklan 2 kohdan mukaan oikeus ei kuitenkaan ole rajoittamaton, sillä viranomaiset saavat puuttua sen käyttämiseen silloin, kun laki sen sallii ja se on välttämätöntä demokraattisessa yhteiskunnassa kansallisen ja yleisen turvallisuuden tai maan taloudellisen hyvinvoinnin vuoksi, tai epäjärjestyksen tai rikollisuuden estämiseksi, terveyden tai moraalin suojaamiseksi tai muiden henkilöiden oikeuksien ja vapauksien turvaamiseksi. Euroopan ihmisoikeustuomioistuimen oikeuskäytännössä henkilötietojen suoja on katsottu olennaiseksi osaksi 8 artiklan yksityis- ja perhe-elämän suojaa. Ihmisoikeustuomioistuimen ratkaisuissa on korostettu muun muassa, että lainsäädännössä pitää olla asianmukaiset takeet siitä, että henkilötietoja ei käsitellä 8 artiklan vastaisesti. Käsiteltävien tietojen tulee olla tarpeellisia sekä sisällöltään että säilytysajaltaan rajattuja rekisteröinnin käyttötarkoitukseen nähden. Niin ikään sääntelyssä tulee olla riittävät takeet, joilla estetään henkilötietojen lainvastainen käyttö. Perustuslakivaliokunnan mukaan ihmisoikeussopimuksen 8 artiklassa turvattujen oikeuksien rajoituksiin kohdistuva välttämättömyyden vaatimus edellyttää, että rajoitukselle on oltava painava yhteiskunnallinen tarve, puuttumisen ja tavoiteltavan hyväksytyn päämäärän tulee olla oikeassa suhteessa keskenään ja rajoitukselle on oltava asianmukaiset ja riittävät perustelut (PeVL 35/2018 vp).  

EU:n perusoikeuskirjan 7 artiklan mukaan jokaisella on oikeus siihen, että hänen yksityis- ja perhe-elämäänsä, kotiaan sekä viestejään kunnioitetaan. Perusoikeuskirjan 8 artiklan mukaan jokaisella on oikeus henkilötietojensa suojaan. Tällaisten tietojen käsittelyn on oltava asianmukaista ja sen on tapahduttava tiettyä tarkoitusta varten ja asianomaisen henkilön suostumuksella tai muun laissa säädetyn oikeuttavan perusteen nojalla. Perusoikeuskirjan 52 artiklan 1 kohdan mukaan perusoikeuskirjassa tunnustettujen oikeuksien ja vapauksien käyttämistä voidaan rajoittaa ainoastaan lailla sekä kyseisten oikeuksien ja vapauksien keskeistä sisältöä kunnioittaen. Suhteellisuusperiaatteen mukaisesti rajoituksia voidaan säätää ainoastaan, jos ne ovat välttämättömiä ja vastaavat tosiasiallisesti unionin tunnustamia yleisen edun mukaisia tavoitteita tai tarvetta suojella muiden henkilöiden oikeuksia ja vapauksia. Perustuslakivaliokunta on pitänyt merkityksellisenä, että EU:n perusoikeuskirjan 7 artiklassa turvataan yksityiselämän suoja ja 8 artiklassa jokaisen oikeus henkilötietojensa suojaan. Perustuslakivaliokunta on painottanut, että EU:n henkilötietojen käsittelyä koskevaa lainsäädäntöä sovellettaessa on otettava huomioon mainitut perusoikeuskirjan artiklat kiinnittäen huomiota siihen, että EU-tuomioistuimen antamat tuomiot määrittävät näiltä osin yksityiselämän ja henkilötietojen suojan keskeistä sisältöä (PeVL 14/2018 vp, PeVL 21/2017 vp). 

Perustuslakivaliokunta on kiinnittänyt erityistä huomiota siihen, että yksityiselämän suojaan kohdistuvia rajoituksia on arvioitava kulloisessakin sääntely-yhteydessä perusoikeuksien yleisten rajoitusedellytysten valossa (PeVL 42/2016 vp, s. 2–3, PeVL 14/2018 vp, s. 5 ja siinä viitatut lausunnot). Rajoituksia on arvioitava erityisesti rajoitusten hyväksyttävyyden ja oikeasuhtaisuuden kannalta (PeVL 29/2016 vp, s. 4–5 ja esimerkiksi PeVL 21/2012 vp, PeVL 47/2010 vp sekä PeVL 14/2009 vp). 

Perustuslakivaliokunta on todennut, että tietosuoja-asetus on EU:n säädös, joka on kaikilta osiltaan velvoittava ja jota sovelletaan sellaisenaan kaikissa jäsenvaltioissa. Euroopan unionin tuomioistuimen vakiintuneen oikeuskäytännön mukaan unionin lainsäädäntö on ensisijaista suhteessa kansallisiin säännöksiin oikeuskäytännössä määriteltyjen edellytysten mukaisesti (PeVL 1/2018 vp). Perustuslakivaliokunta on myös todennut, että sen valtiosääntöisiin tehtäviin ei kuulu kansallisen täytäntöönpanosääntelyn arviointi EU:n aineellisen lainsäädännön kannalta (ks. esim. PeVL 31/2017 vp, s. 4). Perustuslakivaliokunta on kuitenkin esittänyt huomioita unionin lainsäädännön ja kansallisen lainsäädännön suhteesta. Valiokunta on tulkintakäytännössään pitänyt tärkeänä, että siltä osin kuin Euroopan unionin lainsäädäntö edellyttää kansallista sääntelyä tai mahdollistaa sen, tätä kansallista liikkumavaraa käytettäessä otetaan huomioon perus- ja ihmisoikeuksista seuraavat vaatimukset (ks. PeVL 25/2005 vp). Valiokunta on tämän johdosta painottanut, että hallituksen esityksessä on erityisesti perusoikeuksien kannalta merkityksellisen sääntelyn osalta syytä tehdä selkoa kansallisen liikkumavaran alasta (PeVL 26/2017 vp, s. 42, PeVL 2/2017 vp, s. 2, PeVL 44/2016 vp, s. 4, PeVL 1/2018 vp, s.3). 

Perustuslakivaliokunnan mukaan tietosuoja-asetuksen yksityiskohtainen sääntely, jota tulkitaan ja sovelletaan EU:n perusoikeuskirjassa turvattujen oikeuksien mukaisesti, muodostaa yleensä riittävän säännöspohjan myös perustuslain 10 §:ssä turvatun yksityiselämän ja henkilötietojen suojan kannalta. Valiokunnan käsityksen mukaan tietosuoja-asetuksen sääntely vastaa asianmukaisesti tulkittuna ja sovellettuna myös Euroopan ihmisoikeussopimuksen mukaan määräytyvää henkilötietojen suojan tasoa. Näin ollen erityislainsäädäntöön ei ole tietosuoja-asetuksen soveltamisalalla enää valtiosääntöisistä syistä välttämätöntä sisällyttää kattavaa ja yksityiskohtaista sääntelyä henkilötietojen käsittelystä. Perustuslakivaliokunnan mielestä henkilötietojen suoja tulee jatkossa turvata ensisijaisesti yleisen tietosuoja-asetuksen ja säädettävän kansallisen yleislainsäädännön nojalla (PeVL 14/2018 vp, s. 4). 

Perustuslakivaliokunta katsoo myös, että sääntelyn selkeyden vuoksi kansallisen erityislainsäädännön säätämiseen tulee jatkossa suhtautua pidättyvästi ja rajata sellainen säätäminen vain välttämättömään tietosuoja-asetuksen antaman kansallisen liikkumavaran puitteissa. Perustuslakivaliokunnan mielestä on kuitenkin selvää, että erityislainsäädännön tarpeellisuutta on arvioitava myös tietosuoja-asetuksen edellyttämän riskiperustaisen lähestymistavan mukaisesti kiinnittämällä huomiota tietojen käsittelyn aiheuttamiin uhkiin ja riskeihin. Mitä korkeampi riski käsittelystä aiheutuu luonnollisen henkilön oikeuksille ja vapauksille, sitä perustellumpaa on yksityiskohtaisempi sääntely. Tällä seikalla on erityistä merkitystä arkaluonteisten tietojen käsittelyn osalta (PeVL 14/2018 vp, s. 5). 

Perustuslakivaliokunnan mukaan valtiosääntöisessä arviossa painopiste on henkilötietojen suojan ja käsittelyä määrittävien säännösten sisällöllisessä arvioinnissa. Kansallisen liikkumavaran käyttöön kohdistuvassa arvioinnissa ovat merkityksellisiä esimerkiksi paitsi yksityiselämän ja henkilötietojen suojan asettamat sisällölliset vaatimukset myös muiden informaatioon liittyvien perusoikeuksien suojan suhde yksityiselämän ja henkilötietojen suojaan (PeVL 14/2018 vp, s. 7). Perustuslakivaliokunta on kiinnittänyt huomiota siihen, että tällainen arvio on mahdollinen vain, jos hallituksen esityksessä eritellään riittävällä seikkaperäisyydellä ne syyt, joiden vuoksi henkilötietojen käsittely katsotaan lakiehdotuksessa välttämättömäksi. Valiokunta ei ole pitänyt riittävänä johtopäätöksenomaisia toteamuksia siitä, että ehdotettu laintasoinen sääntely on täsmällistä ja tarkkarajaista sekä perusoikeusjärjestelmän kokonaisuuden kannalta hyväksyttävää ja että ehdotetut muutokset ovat oikeasuhtaisia suhteessa niiden käyttötarkoitukseen eikä tavoitetta ole saavutettavissa perusoikeuteen vähemmän puuttuvin keinoin, mikäli säätämisjärjestysperusteluissa ei ole kuitenkaan lainkaan täsmennetty niitä perusteita, joiden valossa uusia valtuuksia henkilötietojen käsittelyyn voitaisiin pitää perustuslain näkökulmasta hyväksyttävään syyhyn perustuvina ja oikeasuhtaisina (PeVL 38/2016 vp, s. 3). Valiokunta on painottanut, että tällainen puute lakiehdotuksen perusteluissa voi äärimmillään johtaa siihen, että lakiehdotuksen arvioidaan olevan asianmukaisesti perustelematta jääneiltä osiltaan perustuslain vastainen (ks. esim. PeVL 38/2016 vp, s. 3, PeVL 9/2016 vp, s. 6 ja PeVL 19/1998 vp, s. 3–4). 

Perustuslakivaliokunta on arvioinut usein viranomaisten tietojen saamista ja luovuttamista salassapitovelvollisuuden estämättä koskevaa sääntelyä perustuslain 10 §:n 1 momentissa säädetyn yksityiselämän ja henkilötietojen suojan kannalta. Perustuslakivaliokunta on kiinnittänyt huomiota muun muassa siihen, mihin ja ketä koskeviin tietoihin tiedonsaantioikeus ulottuu ja miten tiedonsaantioikeus sidotaan tietojen välttämättömyyteen (PeVL 15/2018 vp). Viranomaisen tietojensaantioikeus ja tietojenluovuttamismahdollisuus ovat voineet liittyä jonkin tarkoituksen kannalta "tarpeellisiin tietoihin", jos tarkoitetut tietosisällöt on pyritty luettelemaan laissa tyhjentävästi. Jos taas tietosisältöjä ei ole samalla tavoin luetteloitu, sääntelyyn on pitänyt sisällyttää vaatimus "tietojen välttämättömyydestä" jonkin tarkoituksen kannalta (ks. esim. PeVL 17/2016 vp, s. 2–3). Mikäli ehdotetut säännökset tietojen luovutuksesta ovat kohdistuneet myös arkaluonteisiin tietoihin, on tavallisen lain säätämisjärjestyksen käyttämisen edellytyksenä ollut sääntelyn täsmentäminen selostetun perustuslakivaliokunnan viranomaisten tietojen saamista ja luovuttamista salassapitovelvollisuuden estämättä koskevaa sääntelyä koskevan käytännön mukaiseksi (PeVL 38/2016 vp, s. 3). Valiokunta ei toisaalta ole pitänyt hyvin väljiä ja yksilöimättömiä tietojensaantioikeuksia perustuslain kannalta mahdollisina edes silloin, kun ne on sidottu välttämättömyyskriteeriin (ks. esim. PeVL 71/2014 vp, s. 3/I, PeVL 62/2010 vp, s. 4/I ja PeVL 59/2010 vp, s. 4/I). 

Perustuslakivaliokunta on painottanut, että erottelussa tietojen saamisen tai luovuttamisen tarpeellisuuden ja välttämättömyyden välillä on kyse tietosisältöjen laajuuden ohella myös siitä, että salassapitosäännösten edelle menevässä tietojensaantioikeudessa on viime kädessä kysymys siitä, että tietoihin oikeutettu viranomainen omine tarpeineen syrjäyttää ne perusteet ja intressit, joita tiedot omaavaan viranomaiseen kohdistuvan salassapidon avulla suojataan. Yleisluontoisessa tietojensaantioikeudessa on nähty riskinä, että salassapitointressit syrjäytyvät hyvin automaattisesti. Mitä täydellisemmin tietojensaantioikeus kytketään säännöksissä asiallisiin edellytyksiin, sitä todennäköisemmin yksittäistä tietojensaantipyyntöä joudutaan käytännössä perustelemaan. Myös tietojen luovuttajan on tällöin mahdollista arvioida pyyntöä luovuttamisen laillisten edellytysten kannalta. Tietojen luovuttaja voi lisäksi kieltäytymällä tosiasiallisesti tietojen antamisesta saada aikaan tilanteen, jossa tietojen luovuttamisvelvollisuus eli säännösten tulkinta saattaa tulla ulkopuolisen viranomaisen tutkittavaksi. Tämä mahdollisuus on tärkeä tiedonsaannin ja salassapitointressin yhteensovittamiseksi (PeVL 15/2018 vp). 

Tietosuoja-asetuksen kansallisen liikkumavaran perusta on säädetty yleisen tietosuoja-asetuksen 6 artiklassa, jolla annetaan jäsenvaltioille mahdollisuus säätää kansallisesti henkilötietojen käsittelyn oikeusperusteesta. Henkilötietojen käsittelyn oikeusperusteesta voidaan säätää lainsäädännössä tilanteissa, joissa henkilötietojen käsittely on tarpeen rekisterinpitäjän lakisääteisen velvoitteen noudattamiseksi tai käsittely on tarpeen yleistä etua koskevan tehtävän suorittamiseksi tai rekisterinpitäjälle kuuluvan julkisen vallan käyttämiseksi (6 artiklan 1 kohdan c ja e alakohta). Viranomaistoiminnassa henkilötietojen käsittelyn tulisi lähtökohtaisesti perustua näihin henkilötietojen käsittelyn oikeusperusteisiin. Tietosuojalain 4 §:n 2 kohdan mukaan henkilötietoja saa käsitellä tietosuoja-asetuksen 6 artiklan 1 kohdan e alakohdan mukaisesti, jos käsittely on tarpeen ja oikeasuhtaista viranomaisen toiminnassa yleisen edun mukaisen tehtävän suorittamiseksi. 

Kansallista liikkumavaraa voidaan käyttää silloin, kun henkilötietojen käsittely perustuu tietosuoja-asetuksen 6 artiklan 1 kohdan c tai e alakohtaan. Mainitun artiklan 2 kohdan mukaan jäsenvaltiot voivat ottaa käyttöön yksityiskohtaisempia säännöksiä edellä mainitun tehtävän puitteissa määrittämällä täsmällisemmin tietojenkäsittely- ja muita toimenpiteitä koskevat erityiset vaatimukset, joilla varmistetaan laillinen ja asianmukainen tietojenkäsittely. Lisäksi kyseisen artiklan 3 kohdan mukaan 1 kohdan c ja e alakohdassa tarkoitetun käsittelyn perustasta on säädettävä joko unionin oikeudessa tai rekisterinpitäjään sovellettavassa jäsenvaltion lainsäädännössä. Sääntely voi koskea muun muassa rekisterinpitäjän suorittaman tietojenkäsittelyn lainmukaisuutta, käsiteltävien tietojen tyyppiä, asianomaisia rekisteröityjä, yhteisöjä, joille ja tarkoituksia joihin henkilötietoja voidaan luovuttaa, käyttötarkoitussidonnaisuutta, säilytysaikoja sekä käsittelytoimia ja -menettelyjä. Unionin oikeuden tai jäsenvaltion lainsäädännön on täytettävä yleisen edun mukainen tavoite ja oltava oikeasuhtaoikeasuhtainen sillä tavoiteltuun oikeutettuun päämäärään nähden. 

Esityksessä ehdotetaan muutettavaksi vertailutietotarkastusta koskevaa lainsäädäntöä siten, että Verohallinto voisi jatkossa kerätä vertailutietotarkastusta varten tietoja tietosuojasääntelyn henkilötietojen käsittelylle asettamien vaatimusten puitteissa. Ehdotetuilla muutoksilla pyritään turvaamaan Verohallinnon tiedonsaantia verovalvonnassa ja siten myös verotulojen kertymistä. Ehdotetussa säännöksessä säädettäisiin muun ohessa Verohallinnon oikeudesta suorittaa vertailutietotarkastus, vertailutietotarkastusta koskevan pyynnön edellytyksistä ja vertailutietotarkastuksella saatujen tietojen käsittelyä koskevista suojatoimista Verohallinnossa. Vertailutietotarkastuksia suorittamalla Verohallinto toteuttaisi sille Verohallinnosta annetussa laissa säädettyä verovalvontatehtävää. Vertailutietotarkastus olisi yksi Verohallinnon käytettävissä olevista valvontakeinoista sen varmistamiseksi, että lainmukaiset verot saadaan kerätyksi oikeudenmukaisesti ja tasapuolisesti yhteiskunnan palveluiden ja muiden menojen rahoittamiseksi. 

Ehdotettu säännös olisi merkityksellisen perustuslain 10 §:ssä turvatun yksityiselämän ja henkilötietojen suojan kannalta. Esityksessä ehdotetaan henkilötietojen käsittelyä koskevaa sääntelyä, joka annettaisiin yleisen tietosuoja-asetuksen salliman kansallisen liikkumavaran puitteissa. Ehdotetussa sääntelyssä vertailutietotarkastukseen liittyvien henkilötietojen käsittely Verohallinnossa olisi tarpeen 6 artiklan 1 kohdan e alakohdan mukaisesti yleistä etua koskevan tehtävän suorittamiseksi tai rekisterinpitäjälle kuuluvan julkisen vallan käyttämiseksi. Tiedonantovelvollisten antaessa vertailutietotarkastuksessa Verohallinnolle tietoja henkilötietojen käsittely perustuisi 6 artiklan 1 kohdan c alakohdan mukaisesti rekisterinpitäjän lakisääteisen velvoitteen noudattamiseen.  

Ehdotuksessa käytettäisiin yleisen tietosuoja-asetuksen 6 artiklan 2–4 kohtien sallimaa liikkumavaraa säätämällä henkilötietojen käsittelyperusteesta vertailutietotarkastuksessa. Lisäksi käytettäisiin tietosuoja-asetuksen 9 artiklan 2 kohdan g alakohdan sekä 23 artiklan 1 kohdan e alakohdan sallimaa liikkumavaraa. Tältä osin liikkumavaran käyttämisen perusteita on selostettu tarkemmin jaksoissa 10.1.3 ja 10.1.4. 

Ehdotettavassa sääntelyssä on otettu huomioon perustuslain ja tietosuoja-asetuksen henkilötietojen suojalle asettamat edellytykset. Vertailutietotarkastus on yksi verotusmenettelylain 14 §:n mukaisen verotarkastuksen toteuttamismuodoista ja Verohallinnon oikeus saada tietoja pohjautuisi mainitun pykälän mukaiseen tietojen esittämisvelvollisuuteen verotarkastuksessa. Vertailutietotarkastuksen kohteena oleviin tietoihin sovellettaisiin verotusmenettelylain 22 §:n 4 momenttia, jonka mukaan mainitun lain 3 luvussa tarkoitetut tiedot on annettava Verohallinnolle salassapitosäännösten ja muiden tietojen saantia koskevien rajoitusten estämättä.  

Vertailutietotarkastuksella pyydettyjen tietojen käyttötarkoitus olisi verovalvonta, joka on Verohallinnon lakisääteinen tehtävä. Verovalvonta pitäisi sisällään kaikki ne toimet, joilla Verohallinto valvoo, että verovelvolliset ovat täyttäneet oikein ja ajallaan verotusta koskevat ilmoitus- ja muut velvollisuutensa. Vertailutietotarkastusta koskevassa sääntelyssä ei voida tyhjentävästi luetella niitä tahoja, joihin Verohallinto voisi kohdistaa vertailutietotarkastuksen. Tavallisesti vertailutietotarkastuksen kohteena on rahalaitos tai muu maksujen välittäjä, mutta vertailutietotarkastus voi olla välttämätöntä kohdistaa myös muihin tahoihin verovalvonnassa merkityksellisten tosiseikkojen selvittämiseksi. Tämän johdosta säännöksessä ei voida rajoittaa vertailutietotarkastuksen kohdejoukkoa pelkästään rahalaitoksiin tai muihin maksujen välittäjiin. Vertailutietotarkastuksella pyydettäviä tietoja ei myöskään ole mahdollista rajata vain tilitapahtumien tai maksutietojen kaltaisiin taloudellisiin tapahtumiin, koska vertailutietotarkastuksella voi olla välttämätöntä pyytää myös tietoja muista verovalvonnassa merkityksellisistä tosiseikoista.  

Perustuslakivaliokunnan käytännön mukaan henkilötietojen suojan rajoitusten pitää olla hyväksyttäviä ja oikeasuhtaisia. Henkilötietojen käsittelyä koskevien säännösten tulee olla lisäksi tarkkarajaisia ja tietojen käsittely on rajattava välttämättömään. Ehdotetussa vertailutietotarkastusta koskevassa säännöksessä henkilötietojen käsittelyn oikeasuhtaisuutta ja rajoittumista välttämättömään on pyritty varmistamaan sääntelemällä tarkkarajaisesti vertailutietotarkastuksen pyyntöä koskevista edellytyksistä. Ehdotetussa verotusmenettelylain 21 §:n 2 momentissa säädettäisiin näistä edellytyksistä. Säännöksen mukaan tietopyynnön olisi oltava perusteltu ja tarkasti kohdennettu verovalvonnassa välttämättömiin tietoihin. Tietopyyntö olisi lisäksi rajattava siten, että siitä käyvät ilmi ne verotuksessa merkitykselliset tosiseikat, taloudelliset tapahtumat tai taloudelliset toimijat, joiden perusteella tiedonantovelvollinen voi tunnistaa ne välttämättömät tiedot, joihin vertailutietotarkastus on kohdennettu. Verohallinnon olisi siten ennen pyynnön tekemistä rajattava pyynnön laajuus säännöksen edellyttämällä tavalla siten, että se kohdistuu vain verovalvonnassa välttämättömiin tietoihin. Tällä pyrittäisiin varmistamaan, että tietopyynnöt ovat tarkkarajaisia ja oikeasuhtaisia tavoiteltuun päämäärään nähden. Tarkasti rajattu pyyntö pienentäisi myös käsiteltävien henkilötietojen määrää ja siten alentaisi rekisteröidyille tietojen käsittelystä aiheutuvia riskejä. 

Perustuslakivaliokunta on lausunnossaan PeVL 21/2025 vp kiinnittänyt huomiota pankki- ja maksutilien valvontajärjestelmään kohdistuvien tietopyyntöjen ennakkokontrolliin. Perustuslakivaliokunnan mukaan pelkkä pyynnön yksilöinti kontrolloi tietopyyntöjä melko muodollisesti, eivätkä yksilöintitiedot sisällä tietoa siitä, miten tiedonsaantioikeuden käyttöä suhteessa välttämättömyysedellytykseen on arvioitu tietoja pyytävässä viranomaisessa. Perustuslakivaliokunnan mukaan olisi perusteltua, että välttämättömyysarviointi kirjattaisiin vähintään viranomaisen omaan tietojärjestelmään ennakkokontrollin varmistamiseksi sekä sen todentamiseksi, että tietopyynnön tekijä on arvioinut tietopyynnön laajuutta oikein. Nyt käsillä olevien vertailutietotarkastusten kohdalla tämä edellytys toteutuisi, koska pyynnöt olisivat kohdennettuja vain verovalvonnassa välttämättömiin tietoihin ja koska välttämättömyys ilmenisi tietopyynnön perusteluista ja peruste dokumentoitaisiin myös vertailutietotarkastuksesta laaditulle verotarkastuskertomukselle. 

Ehdotetun sääntelyn mukaisesti vertailutietotarkastus on kohdennettava siten, että käsiteltävänä ovat sellaiset välttämättömät tiedot, joiden perusteella voidaan valvoa verotukseen liittyvä riskiä. Välttämättömillä tiedoilla tarkoitetaan sellaisia tietoja esimerkiksi yksittäisistä tilitapahtumista, jotka todentavat verotuksessa merkityksellisen taloudellisen tapahtuman. Lakiin ehdotetuilla vaatimuksilla tietojen välttämättömyydestä ja kohdentamisessa käytettävillä rajauksilla varmistetaan se, että vertailutietotarkastuksessa esitetyt tietopyynnöt eivät kohdistu sellaisiin henkilön yksityiselämää koskeviin tapahtumiin tai tietoihin, joita ei ole tarpeellista käsitellä verotuksessa kuten esimerkiksi tilitapahtumilla olevat tavanomaiset ruokaostokset.  

Vertailutietotarkastus on verovalvonnan toimenpide, eikä sen tarkoituksena ole korvata muita ilmoitus- ja tiedonantovelvollisuutta koskevia säännöksiä. Vertailutietotarkastuksessa käsitellään pääasiassa taloudellisia tapahtumia kuvaavia tietoja, jotka pitäisi olla ilmoitettu veroilmoituksella. Sivulliselta saatavien tietojen perusteella Verohallinto voisi varmistaa, että verovelvollinen on antanut tiedot oikein vero- tai muulla ilmoituksella. Vertailutietotarkastuksella käsitellään sellaisia sivullistietoja, joita ei ole mahdollista saada muutoin ja joiden perusteella voidaan valvoa verovelvoitteen hoitamista, mikä osaltaan korostaisi vertailutietotarkastusten suorittamisen välttämättömyyttä verovalvonnan kannalta. 

Vertailutietoja koskevien pyyntöjen kohdentamisessa ja tietojen välttämättömyyden arvioinnissa verovalvonnan intressien huomioon ottaminen on keskeistä. Verovalvonnan luonteesta Verohallinnon lakisääteisenä tehtävänä seuraa, että Verohallinnolla olisi yksinomaan harkintavalta siitä, minkälaisella kohdentamisella se pyytää verovalvonnassa välttämättömät tiedot, vaikka tietyiltä osin tiedonantovelvollisen kanssa voisi olla tarpeen käydä keskustelua tietopyynnön ja sen toteuttamisen yksityiskohdista. Ehdotetussa menettelyssä Verohallinnon on kuitenkin perusteltava tietopyyntö, jolloin tiedonantovelvollinen saa tiedon siitä, millä perusteella Verohallinto on katsonut pyydettävät tiedot välttämättömiksi verovalvonnan kannalta. Tietopyynnön perusteluissa tiedonantovelvollinen voi myös saada sellaista Verohallinnon verovalvontaan liittyvää salassa pidettävää tietoa esimerkiksi veroriskeistä ja verovalvonnan kohdentamisesta, josta se olisi vaitiolovelvollinen. Verohallinnon tehdessä tietopyynnön, se vastaisi tietopyynnön välttämättömyyden arvioinnista, tietopyynnön rajauksesta ja muista tietosuojasääntelyn mukaisista tiedonkäsittelyn vaatimuksista. Tiedonantovelvollisen on mahdollista saada vertailutietotarkastuksella esitettyyn tietopyyntöön valituskelpoinen päätös, johon on mahdollista hakea muutosta. 

10.1.2  Henkilötietojen käsittelyä koskevat periaatteet tietosuoja-asetuksessa

Tietosuoja-asetuksen 5 artiklassa säädetään henkilötietojen käsittelyä koskevista periaatteista. Esityksen kannalta merkityksellisiä ovat etenkin artiklan 1 kohdan b alakohdan käyttötarkoitussidonnaisuutta koskeva periaate, c alakohdan tietojen minimointia koskeva periaate, d alakohdan tietojen täsmällisyyttä koskeva periaate sekä e alakohdan tietojen säilytyksen rajoittamista koskeva periaate.  

Tietosuoja-asetuksen 5 artiklan 1 kohdan b alakohdan mukaisen käyttötarkoitussidonnaisuuden periaatteen mukaan henkilötiedot on kerättävä tiettyä, nimenomaista ja laillista tarkoitusta varten, eikä niitä saa käsitellä myöhemmin näiden tarkoitusten kanssa yhteensopimattomalla tavalla. Jos tietoja käsitellään muuhun kuin alkuperäiseen tarkoitukseen, tietojen toissijaisen käytön on täytettävä tietosuoja-asetuksessa asetetut edellytykset. Tietosuoja-asetuksen 6 artiklan 4 kohdassa säädetään tietojen käsittelystä alkuperäisten käyttötarkoitusten kanssa yhteensopiviin käyttötarkoituksiin. Mainitun kohdan mukaan tietojen käsittely alkuperäisten käyttötarkoitusten kanssa yhteensopiviin käyttötarkoituksiin voi perustua jäsenvaltion kansalliseen lainsäädäntöön. Kansallisen lainsäädännön tulisi muodostaa välttämättömän ja oikeasuhtaisen toimenpiteen 23 artiklan 1 kohdassa tarkoitettujen tavoitteiden turvaamiseksi. Tietosuoja-asetuksen 23 artiklan 1 kohdan e alakohdassa tällaiseksi tavoitteeksi on säädetty muut unionin tai jäsenvaltion yleiseen julkiseen etuun liittyvät tärkeät tavoitteet, erityisesti unionille tai jäsenvaltiolle tärkeä taloudellinen tai rahoituksellinen etu, mukaan lukien rahaan, talousarvioon ja verotukseen liittyvät asiat sekä kansanterveys ja sosiaaliturva. 

Tietosuoja-asetuksen 5 artiklan 1 kohdan c alakohdan tietojen minimointia koskevan periaatteen mukaan tietojen on oltava asianmukaisia ja olennaisia ja rajoitettuja siihen, mikä on tarpeellista suhteessa niihin tarkoituksiin, joita varten niitä käsitellään. Mainitun artiklan 1 kohdan d alakohdassa puolestaan säädetään tietojen täsmällisyyden vaatimuksesta. Tietojen on oltava täsmällisiä ja tarvittaessa päivitettyjä. Lisäksi on toteutettava kaikki mahdolliset kohtuulliset toimenpiteet sen varmistamiseksi, että käsittelyn tarkoituksiin nähden virheelliset henkilötiedot poistetaan tai oikaistaan viipymättä. Tietosuoja-asetuksen 5 artiklan 1 kohdan e alakohdan säilytyksen rajoittamista koskevan periaatteen mukaan tietoja on säilytettävä muodossa, josta rekisteröity on tunnistettavissa ainoastaan niin kauan kuin on tarpeen tietojenkäsittelyn tarkoitusten toteuttamista varten. 

Edellä todetun mukaisesti ehdotetussa verotusmenettelylain 21 §:n 2 momentissa säädettäisiin vertailutietoja koskevan pyynnön edellytyksistä ja rajoitettaisiin pyynnön laajuutta. Säännöksellä toteutettaisiin tietosuoja-asetuksen tietojen minimoinnin periaatetta. Edellä kuvatulla tavalla säännös asettaisi sellaiset rajat Verohallinnon vertailutietoja koskeville pyynnöille, että ne olisivat oikeasuhtaisia ja välttämättömiä myös tietojen minimoinnin periaatteen näkökulmasta. 

Ehdotetun säännöksen perusteella tehdyt tietopyynnöt olisivat myös EU-tuomioistuimen ratkaisukäytännössään (C-439/19 Latvijas Republikas Saeima, kohta 98) esiin tuoman suhteellisuusperiaatteen mukaisia. Ehdotettu sääntely täyttäisi myös EU-tuomioistuimen asiassa C-175/20 (Valsts ieņēmumu dienests) annetussa ratkaisussa kansalliselle säännöksille asetetut edellytykset. Mainitussa ratkaisussa EU-tuomioistuin totesi, että 5 artiklan 1 kohdan c alakohdassa ilmaistun oikeasuhtaisuutta koskevan vaatimuksen täyttämiseksi käsittelyn perustana olevassa säännöstössä on säädettävä selkeistä ja täsmällisistä kyseessä olevan toimenpiteen ulottuvuutta ja soveltamista koskevista säännöistä, joissa asetetaan vähimmäisvaatimukset, jotta henkilöillä, joiden henkilötiedot ovat kyseessä, on riittävät takeet, joiden avulla näitä tietoja voidaan tehokkaasti suojata väärinkäytön vaaroilta. Kyseisen säännöstön on oltava kansallisen oikeuden mukaan laillisesti sitova, ja siinä on erityisesti mainittava, missä olosuhteissa ja millä edellytyksin tällaisten tietojen käsittelyä koskeva toimenpide voidaan toteuttaa, jotta taataan, että puuttuminen rajoittuu täysin välttämättömään (asia C-175/20, kohta 83). Samassa ratkaisussa EU-tuomioistuin katsoi myös, että tilanteessa, jossa kyseessä olevien henkilötietojen luovuttaminen ei perustu suoraan sen perustana olevaan lain säännökseen vaan toimivaltaisen viranomaisen pyyntöön, on tarpeen, että pyynnössä täsmennetään, mitkä ovat tämän tietojen keräämisen erityiset tarkoitukset yleistä etua koskevaan tehtävään tai julkisen vallan käyttöön nähden, jotta pyynnön vastaanottaja voi varmistua siitä, että kyseessä olevien henkilötietojen siirtäminen on lainmukaista, ja jotta kansalliset tuomioistuimet voivat tarkistaa kyseisten käsittelyjen laillisuuden (asia C-175/20, kohta 71). Nyt ehdotettu sääntely vertailutietoja koskevan pyynnön perustelemisesta on myös tältä osin edellä kuvatun EU-tuomioistuimen ratkaisukäytännön mukainen.  

Vaikka Verohallinnon on rajattava tietopyyntö tarkasti vain verovalvonnassa välttämättömiin tietoihin, ei voida täysin välttyä siltä, että tietoaineisto voi sisältää myös sellaisia henkilötietoja, joita ei lopulta käytetä verotusta koskevassa päätöksessä sekä sellaisia tietoja, jotka eivät liity verotuksessa merkityksellisiin tosiseikkoihin tai taloudellisiin tapahtumiin. Verovelvollinen on voinut esimerkiksi ilmoittaa asianmukaisesti veroilmoituksellaan tulon, joka käy ilmi vertailutiedoista. Verovalvonnan näkökulmasta tällainenkin tieto on välttämätöntä, sillä verovalvontaan sisältyy myös sen todentaminen, että verovelvollinen on ilmoittanut tulonsa oikean suuruisena ja siten hoitanut velvoitteensa asianmukaisesti. Tällöin vertailutieto ei johda verotustoimenpiteeseen. Vertailutietoaineistossa voi olla myös sellaisia tietoja, joista käy ilmi esimerkiksi maksutapahtuman toinen osapuoli, joka ei ole varsinaisen valvonnan kohteena. Ehdotettu välttämättömyysperuste tarkoittaisi tällaisessa tilanteissa, että Verohallinnon esittämässä tietopyynnössä edellytetään peittämään esimerkiksi ostajaa koskevat tiedot silloin, kun valvonnan kohteena on esimerkiksi internetissä toimiva kauppias. Kuitenkin, jos kysymys on esimerkiksi tulon maksajasta tai välittäjästä, voi myös tämän toisen osapuolen toiminnasta saatava tieto olla välttämätöntä verovalvonnan kannalta. Tällaiset toimijat ovat tosin useimmiten muita kuin luonnollisia henkilöitä, jolloin henkilötietojen suojaa koskevat kysymykset eivät lähtökohtaisesti ole merkityksellisiä.  

Ehdotetun verotusmenettelylain 21 §:n 4 momentin 4 kohdan mukaan Verohallinnon olisi hävitettävä tiedot heti, kun ne todetaan verotuksessa tarpeettomiksi. Tiedot, joita ei ole käytetty verotustoimenpiteissä, olisi kuitenkin aina hävitettävä viimeistään kahden vuoden kuluttua siitä, kun tiedot on annettu Verohallinnolle. Säännöksellä toteutetaan tietosuoja-asetuksen tietojen täsmällisyyden ja tietojen säilytyksen rajoittamisen periaatteita. Säännös soveltuisi myös silloin, kun edellä kuvatulla tavalla havaitaan, että vertailutietoaineistossa on sellaisia tietoja, jotka eivät ole välttämättömiä verovalvonnan näkökulmasta. Tällöin nämä tiedot hävitettäisiin välittömästi. Verohallinto esimerkiksi hävitettäisi tiedot heti, jos tiedonantovelvollinen olisi erehdyksessä antanut sellaisia tietoja, joita Verohallinnon pyyntö ei ole koskenut. 

Arvioitaessa käsiteltävien tietojen asiayhteyttä erityisesti rekisteröityjen ja rekisterinpitäjän suhteen kannalta tulee ottaa huomioon, että Verohallinnolla on toimivalta valvoa verovelvoitteiden hoitamista myös sivullisilta saatavien tietojen perusteella ja tällä tavalla puuttua lakisääteisen tehtävän suorittamiseksi rekisteröidyn oikeuksiin ja vapauksiin. Vertailutietotarkastus ei kohdennu erityisiin henkilötietoryhmiin, mutta tiedoista voi välillisesti ilmetä myös näitä henkilötietoryhmiä koskevia tietoja. Tämä käsittely on kuvattu jäljempänä erikseen. Tietojen käsittelyllä on vaikutuksia rekisteröidylle. Vertailutietotarkastuksella saatujen tietojen perusteella Verohallinto voi tehdä arvion siitä, onko tarkastuksen kohteena olevissa tilanteissa huolehdittu verotusta koskevista velvoitteista tai laiminlyöty näitä velvoitteita. Verohallinto voi ryhtyä laiminlyönnin johdosta erilaisiin toimivallassaan oleviin toimenpiteisiin. 

Vertailutietotarkastuksessa ei olisi kysymys käyttötarkoitussidonnaisuuden vastaisesta henkilötietojen käsittelystä yhteensopimattomalla tavalla niiden alkuperäiseen käyttötarkoitukseen nähden. Vertailutietotarkastusta koskevassa pykälässä olisi kysymys tietosuoja-asetuksen 6 artiklan 4 kohdassa tarkoitetusta kansallisesta säännöksestä, jolla mahdollistetaan tietojen käsittely alkuperäisen käyttötarkoituksen kanssa yhteensopivaan tarkoitukseen. Vertailutietotarkastus olisi välttämätön ja oikeasuhtainen toimenpide tietosuoja-asetuksen 23 artiklan 1 kohdan e alakohdassa tarkoitetun tavoitteen, jäsenvaltion tärkeän taloudellisen ja rahoituksellisen edun, turvaamiseksi. Mainitussa säännöksessä mainitaan verotukseen liittyvät asiat yhtenä esimerkkinä jäsenvaltion tärkeästä taloudellisesta ja rahoituksellisesta edusta. 

10.1.3  Erityisiin henkilöryhmiin kuuluvien tietojen ja arkaluonteisten tietojen käsittely

Perustuslakivaliokunnan vakiintuneen käytännön mukaan lainsäätäjän liikkumavaraa rajoittaa henkilötietojen käsittelystä säädettäessä erityisesti se, että henkilötietojen suoja osittain sisältyy perustuslain 10 §:n samassa momentissa turvatun yksityiselämän suojan piiriin. Lainsäätäjän tulee turvata tämä oikeus tavalla, jota voidaan pitää hyväksyttävänä perusoikeusjärjestelmän kokonaisuudessa. Valiokunta on tämän vuoksi arvioinut erityisesti arkaluonteisten tietojen käsittelyn sallimisen koskevan yksityiselämään kuuluvan henkilötietojen suojan ydintä (PeVL 37/2013 vp, s. 2/I), minkä johdosta esimerkiksi tällaisia tietoja sisältävien rekisterien perustamista on arvioitava perusoikeuksien rajoitusedellytysten, erityisesti rajoitusten hyväksyttävyyden ja oikeasuhtaisuuden, kannalta (PeVL 29/2016 vp, s. 4–5 ja esimerkiksi PeVL 21/2012 vp, PeVL 47/2010 vp sekä PeVL 14/2009 vp). Valiokunta on antanut merkitystä luovutettavien tietojen luonteelle arkaluonteisina tietoina arvioidessaan tietojen saamista ja luovuttamista salassapitovelvollisuuden estämättä koskevan sääntelyn kattavuutta, täsmällisyyttä ja sisältöä (ks. esim. PeVL 38/2016 vp, s. 3). 

Perustuslakivaliokunta on painottanut arkaluonteisten tietojen käsittelyn aiheuttamia uhkia. Valiokunnan mielestä arkaluonteisia tietoja sisältäviin laajoihin tietokantoihin liittyy tietoturvaan ja tietojen väärinkäyttöön liittyviä vakavia riskejä, jotka voivat viime kädessä muodostaa uhan henkilön identiteetille (PeVL 13/2016 vp, s. 4, PeVL 14/2009 vp, s. 3/I). Myös EU:n yleisen tietosuoja-asetuksen johdantokappaleessa 51 painotetaan, että asetuksen 9 artiklassa tarkoitettuja erityisiä henkilötietoja, jotka ovat erityisen arkaluonteisia perusoikeuksien ja -vapauksien kannalta, on suojeltava erityisen tarkasti, koska niiden käsittelyn asiayhteys voisi aiheuttaa huomattavia riskejä perusoikeuksille ja -vapauksille. Valiokunta on tämän johdosta kiinnittänyt erityistä huomiota siihen, että arkaluonteisten tietojen käsittely on syytä rajata täsmällisillä ja tarkkarajaisilla säännöksillä vain välttämättömään (ks. esim. PeVL 3/2017 vp, s. 5). 

Perustuslakivaliokunta on aiemmin katsonut, että pankkisalaisuus ei ole yksityiselämän ydinalueeseen kuuluva seikka (PeVL 14/2002 vp, s. 4/II, PeVL 7/2000 vp, s. 4/I). Valiokunta on sittemmin arvioinut uudelleen yksityiselämän suojan ydinalueen merkitystä. Valiokunnan aiemmassa käytännössä esimerkiksi luottamuksellisen viestin tunnistamistietojen katsottiin jäävän luottamuksellisen viestin salaisuutta suojaavan perusoikeuden ydinalueen ulkopuolelle (ks. esim. PeVL 33/2013 vp, s. 3/I, PeVL 6/2012 vp, s. 3—4, PeVL 29/2008 vp, s. 2/II ja PeVL 3/2008 vp, s. 2/I). Valiokunta on tarkistanut tätä käytäntöään, koska sähköisen viestinnän käyttöön liittyvät tunnistamistiedot sekä mahdollisuus niiden kokoamiseen ja yhdistämiseen voivat olla yksityiselämän suojan näkökulmasta siinä määrin ongelmallisia, että kategorinen erottelu suojan reuna ja ydinalueeseen ei aina ole perusteltua, vaan huomiota on yleisemmin kiinnitettävä myös rajoitusten merkittävyyteen (PeVL 18/2014 vp, s. 6/II, ks. myös PeVL 36/2018 vp, s. 22). 

Perustuslakivaliokunta on katsonut, että mitä suurimmassa määrin yksityisten ihmisten maksuliikenne siirtyy käteisen rahan käytöstä pankkitilin välityksellä tapahtuvaan maksuliikenteeseen, sitä yksityiskohtaisemman kuvan henkilön yksityiselämästä voi muodostaa pankkitilin tilitapahtumista. Tilitapahtumista voi ilmetä suoraan jopa arkaluonteisia tietoja, kuten tietoja uskonnollisen yhdyskunnan jäsenyydestä tai terveydenhuoltopalvelujen käytöstä. Valiokunnan mielestä luonnollisen henkilön yksityiskohtaiset tilitiedot rinnastuvat tämän johdosta yksityiselämän suojan ydinalueelle kuuluviin arkaluonteisiin tietoihin (PeVL 48/2018 vp). Vaikka tietosuoja-asetuksen soveltamisen alkamisen johdosta kansallisessa lainsäädännössä tulee tietosuoja-asetuksen 9 artiklaan valitun erityisten henkilötietoryhmien käsitteen vuoksi välttää arkaluonteisten tietojen käsitteen käyttämistä sääntelyn selvyyden vuoksi (ks. myös PeVL 14/2018 vp), pitää perustuslakivaliokunta edelleen perusteltuna kuvata valtiosääntöisesti tiettyjä henkilötietoryhmiä nimenomaan arkaluonteisiksi (PeVL 15/2018 vp). Myös tietosuoja-asetuksen johdantokappaleessa 51 painotetaan erityisten henkilötietoryhmien erityistä arkaluonteisuutta. Näillä tarkoitetaan laajempaa tietojoukkoa kuin vain tietosuoja-asetuksessa tarkoitetut erityiset henkilötietoryhmät (ks. tältä osin myös esim. PeVL 17/2018 vp). Myös tietosuoja-asetuksen mukaan sen 9 artiklassa tarkoitettuja erityisiä henkilötietoja, jotka ovat erityisen arkaluonteisia perusoikeuksien ja -vapauksien kannalta, on suojeltava erityisen tarkasti, koska niiden käsittelyn asiayhteys voi aiheuttaa huomattavia riskejä perusoikeuksille ja -vapauksille. Perustuslakivaliokunnan mukaan arkaluonteisten tietojen käsittelyä koskevaa sääntelyä on tietosuoja-asetuksen mahdollistamissa puitteissa edelleen syytä arvioida myös aiemman sääntelyn lakitasoisuutta koskevan käytännön pohjalta (PeVL 14/2018 vp, s. 6). 

Vertailutietotarkastus kohdistuisi usein tilitapahtumatietoihin, jotka perustuslakivaliokunta on tuoreessa käytännössään rinnastanut valtiosääntöoikeudellisesti arkaluonteisiin tietoihin. Vertailutietotarkastusta koskevan sääntelyn on siten täytettävä arkaluonteisten tietojen käsittelylle asetetut edellytykset. Perustuslakivaliokunta on kiinnittänyt erityistä huomiota siihen, että arkaluonteisten tietojen käsittely on syytä rajata täsmällisillä ja tarkkarajaisilla säännöksillä vain välttämättömään.  

Edellä jaksossa 10.1.1 on käsitelty ehdotetun vertailutietotarkastusta koskevan verotusmenettelylain 21 §:n tarkkarajaisuutta, oikeasuhtaisuutta ja kohdistumista vain verovalvonnassa välttämättömiin tietoihin yleisesti henkilötietojen suojaa koskevan sääntelyn näkökulmasta. Ehdotetulla säännöksellä varmistetaan se, että rekisteröidyn oikeuksiin ei puututa enempää kuin on välttämätöntä yleistä etua koskevan tavoitteen eli verovalvonnan suorittamiseksi. Ehdotetun säännöksen mukaan tietopyyntö on rajattava siten, että se kohdistetaan tiettyyn verotuksessa merkitykselliseen tosiseikkaan, taloudelliseen tapahtumaan tai taloudelliseen toimijaan. Tällä pyritään varmistumaan jo ennakolta siitä, että tiedot eivät sisältäisi sellaisia tietoja, joista olisi mahdollista muodostaa kokonaiskuva henkilön yksityiselämästä. Vertailutietotarkastuksessa käsitellään tilitapahtumatietoja paljon suppeammin ja kohdennetummin kuin esimerkiksi pankki- ja maksutilien valvontajärjestelmässä, koska Verohallinnon olisi aina kohdennettava käsittely vain välttämättömiin yksittäisiin tapahtumiin. Lisäksi on huomioitava, että vertailutietotarkastus ei ole tarkoituksenmukainen keino yksittäiseen luonnolliseen henkilöön kohdistuvassa verovalvonnassa, koska sillä lähtökohtaisesti valvotaan suuremman ennalta määrittelemättömän verovelvollisjoukon verovelvoitteiden hoitamista. Verohallinto voi sen sijaan kohdistaa yksittäiseen verovelvolliseen verotusmenettelylain 14 §:ssä tarkoitetun tavallisen verotarkastuksen, jonka yhteydessä on mahdollista esimerkiksi pyytää pankeilta tietoja tilitapahtumista verotusmenettelylain 18 a ja 19 §:n nojalla. 

Tietosuoja-asetus sisältää erityisiin henkilötietoryhmiin kuuluvien tietojen käsittelyä koskevat säännökset, jossa asetetaan aiempaa tiukemmat vaatimukset näiden tietojen käsittelylle, mukaan lukien henkilötietojen suojaamista koskevat vaatimukset. Tietosuoja-asetuksen 9 artiklassa säädetään erityisiä henkilötietoryhmiä koskevien tietojen käsittelystä. Artiklan 1 kohdan mukaan sellaisten henkilötietojen käsittely, joista ilmenee rotu tai etninen alkuperä, poliittisia mielipiteitä, uskonnollinen tai filosofinen vakaumus tai ammattiliiton jäsenyys, sekä geneettisten tai biometristen tietojen käsittely henkilön yksiselitteistä tunnistamista varten tai terveyttä koskevien tietojen taikka luonnollisen henkilön seksuaalista käyttäytymistä ja suuntautumista koskevien tietojen käsittely, on kiellettyä. Artiklan 2 kohdassa säädetään poikkeuksesta 1 kohdan kieltoon.  

Tämän esityksen mukainen oikeus erityisiin henkilötietoryhmiin kuuluvien henkilötietojen käsittelystä vertailutietotarkastuksessa perustuu kyseisen artiklan 2 kohdan g alakohtaan sisältyvään sääntelyliikkumavaraan. Artiklan 2 kohdan g alakohdan mukaan 1 kohtaa ei sovelleta, jos käsittely on tarpeen tärkeää yleistä etua koskevasta syystä unionin oikeuden tai jäsenvaltion lainsäädännön nojalla, edellyttäen että se on oikeasuhtainen tavoitteeseen nähden, siinä noudatetaan keskeisiltä osin oikeutta henkilötietojen suojaan ja siinä säädetään asianmukaisista ja erityisistä toimenpiteistä rekisteröidyn perusoikeuksien ja etujen suojaamiseksi. Toisin sanoen yleistä etua koskevasta syystä käsittely ei ole mahdollista suoraan asetuksen perusteella, vaan se edellyttää lisäksi tarkentavaa sääntelyä tai muuta menettelyä. 

Tietosuojalain 6 §:n 1 momentissa säädetään poikkeus tietosuoja-asetuksen 9 artiklan 1 kohdan soveltamiseen. Mainitun momentin 2 kohdan mukaan tietosuoja-asetuksen 9 artiklan 1 kohtaa ei sovelleta tietojen käsittelyyn, josta säädetään laissa tai joka johtuu välittömästi rekisterinpitäjälle laissa säädetystä tehtävästä. Tietosuojalain 6 §:n 2 momentissa puolestaan säädetään suojatoimista, jotka rekisterinpitäjän ja henkilötietojen käsittelijän on toteutettava rekisteröidyn oikeuksien suojaamiseksi. 

Verotuksessa ja vertailutietotarkastuksessa ei ole lähtökohtaisesti tarpeellista käsitellä tietosuoja-asetuksen 9 artiklassa tarkoitettuihin erityisiin henkilötietoryhmiin kuuluvia tietoja. Jos vertailutietotarkastus kohdistuu tietoihin, jotka kuvaavat luonnollisen henkilön taloudellisia tapahtumia, tiedot voivat joissain tilanteissa kuitenkin sisältää myös erityisiin henkilötietojen ryhmiin kuuluvia tietoja. Nämä tiedot olisivat kuitenkin vertailutietotarkastuksella sattumanvaraisia, eikä näitä tietoja tallennettaisi Verohallinnossa siten, että esimerkiksi tiedonhaun kohdistaminen olisi mahdollista jonkin erityiseen henkilötietoryhmään kuuluvan seikan selvittämiseksi. Näissä tilanteissa tietoja käsitellään huolellisesti. Vertailutietotarkastuksen tavoitteena ei ole erityisiin henkilötietoryhmiin kuuluvien tietojen kerääminen tai kokonaiskuvan muodostaminen henkilön yksityiselämästä, eikä vertailutietotarkastusta koskaan toteuteta siinä tarkoituksessa, että kerättäisiin nimenomaisesti erityisiin henkilötietojen ryhmiin kuuluvia tietoja. Verohallinnolle voi kuitenkin olla verovalvonnassa välttämätöntä käsitellä myös tällaisia tietoja esimerkiksi silloin, kun verovalvonnan kohteena ovat terveydenhuollon toimijat tai silloin, kun verovalvonnassa arvioidaan luonnollisen henkilön maksuliikennettä. 

Esityksessä ehdotetaan säädettäväksi, että Verohallinto voisi käsitellä yleisessä tietosuoja-asetuksessa tarkoitettuja erityisiin henkilötietoryhmiin kuuluvia tietoja, jos tällaisia tietoja ilmenee välillisesti vertailutietotarkastuksella saadusta aineistosta ja tietojen käsittely on välttämätöntä verovalvonnassa. Vertailutietotarkastuksen tietopyyntöä ei kuitenkaan saisi kohdistaa erityisiä henkilötietoryhmiä koskeviin tietoihin. Erityisiä henkilötietoryhmiä koskevassa ehdotuksessa käytettäisiin tietosuoja-asetuksen 9 artiklan 2 kohdan g alakohdan sallimaa kansallista liikkumavaraa. 

Yleiseen tietosuojasääntelyyn perustuvina suojatoimina Verohallintoa rekisterinpitäjänä velvoittavat muun ohessa yleisen tietosuoja-asetuksen 5 artiklan mukaisten käsittelyn periaatteiden toteuttaminen sekä 24, 25 ja 32 artiklojen tarkoittamat toimet. Lisäksi Verohallinnon on täytettävä kansallisen lainsäädännön mukaiset tietosuojavaatimukset. Laajan tietoaineiston ja erityisiin henkilötietoryhmiin kuuluvien tietojen käsittelyn tietosuojaoikeudellisista vaatimuksista johtuen Verohallinnolle säädettäisiin kuitenkin nimenomainen velvollisuus toteuttaa vertailutietotarkastuksissa erityisiä suojatoimenpiteitä henkilötietojen turvaamiseksi.  

Näistä suojatoimista säädettäisiin verotusmenettelylain 21 §:n 4 momentissa. Suojatoimet liittyisivät tietoturvaan, tietosuojaan, luottamuksellisuuteen, tietojen hävittämiseen sekä tietoja käsittelevää virkamiestä koskeviin edellytyksiin. Menettelyt takaisivat sen, että tietoja käsitellään vain nimettyjen virkailijoiden toimesta turvallisessa tietojenkäsittely-ympäristössä. Ehdotetut suojatoimet turvaisivat luonnollisten henkilöiden henkilötietojen asianmukaista käsittelyä. 

Ehdotettua säännöstä voidaan pitää oikeasuhtaisena erityisiin henkilötietoryhmiin kuuluvien tietojen käsittelyn osalta, kun otetaan huomioon vertailutietotarkastuksen kohdistuminen vain verovalvonnassa välttämättömiin tietoihin, vertailutietoja koskevalle pyynnölle ehdotetut rajaukset ja muut pyynnölle asetettavat edellytykset sekä tietosuoja-asetuksen ja tietosuojalain velvoittavat suojatoimet yhdessä säännöksessä ehdotettujen Verohallintoa velvoittavien erityisten suojatoimien kanssa. Säännös täyttäisi myös tietosuoja-asetuksen 9 artiklan 2 kohdan g alakohdasta kansallisen liikkumavaran käyttämiselle johtuvat edellytykset. 

10.1.4  Rekisteröidyn oikeuksien rajoittaminen

Yleisen tietosuoja-asetuksen 23 artiklan mukaan rekisterinpitäjään tai henkilötietojen käsittelijään sovellettavassa unionin oikeudessa tai jäsenvaltion lainsäädännössä voidaan lainsäädäntötoimenpiteellä rajoittaa 15 artiklassa säädettyä rekisteröidyn oikeutta tutustua tietoihin, joita hänestä on kerätty, jos kyseisessä rajoituksessa noudatetaan keskeisiltä osin perusoikeuksia ja -vapauksia ja se on välttämätön ja oikeasuhtainen toimenpide artiklan 1 kohdassa mainittujen seikkojen varmistamiseksi. Artiklan 1 kohdassa on mainittu muun ohessa muut unionin tai jäsenvaltion yleiseen julkiseen etuun liittyvät tärkeät tavoitteet, erityisesti unionille tai jäsenvaltiolle tärkeä taloudellinen tai rahoituksellinen etu, mukaan lukien rahaan, talousarvioon ja verotukseen liittyvät asiat.  

Mainitun artiklan 2 kohdassa on säädetty niistä seikoista, joista artiklan 1 kohdassa tarkoitettujen lainsäädäntötoimenpiteiden olisi sisällettävä tarpeen mukaan erityisiä säännöksiä. Erityisiä säännöksiä tulisi olla käsittelytarkoituksesta tai käsittelyn ryhmistä, henkilötietoryhmistä, käyttöön otettujen rajoitusten soveltamisalasta, suojatoimista, joilla estetään väärinkäyttö tai lainvastainen pääsy tietoihin tai niiden siirtäminen, rekisterinpitäjän tai rekisterinpitäjien ryhmien määrittämisestä, tietojen säilytysajoista ja sovellettavista suojatoimista ottaen huomioon käsittelyn tai käsittelyryhmien luonne, laajuus ja tarkoitukset, rekisteröidyn oikeuksista ja vapauksiin kohdistuvia riskeistä ja rekisteröityjen oikeudesta saada tietoa rajoituksesta, paitsi jos tämä voisi vaarantaa rajoituksen tarkoituksen. 

Tietosuojalain 34 §:ssä on käytetty asetukseen sisältyvää kansallista liikkumavaraa ja kyseisen säännöksen mukaisesti rekisteröidyllä ei ole tietosuoja-asetuksen 15 artiklassa tarkoitettua oikeutta tutustua hänestä kerättyihin tietoihin muun ohessa, jos henkilötietoja käytetään valvonta- ja tarkastustehtävissä ja tiedon antamatta jättäminen on välttämätöntä Suomen tai Euroopan unionin tärkeän taloudellisen tai rahoituksellisen edun turvaamiseksi. 

Rekisteröidyllä olisi lähtökohtaisesti oikeus saada tietoja henkilötietojen käsittelystä. Verohallinto voisi kuitenkin rajoittaa käsittelystä kertomista siltä osin kuin tietojen antaminen vaarantaa verotusta koskevan valvontatoimenpiteen. Tietojen antamisen rajoittamisessa sovellettaisiin harkinnan varaisesti viranomaisten toiminnan julkisuudesta annetun lain 11 §:n 2 momentissa säädettyä oikeutta kieltäytyä tietojen antamisesta asianosaiselle, jos tietojen antaminen vaarantaa erittäin tärkeän yleisen edun, kuten verovalvonnan tarkoituksen, sekä yleisen tietosuoja-asetuksen 23 artiklan ja kansallisen tietosuojalain 34 §:n 1 momentin 3 kohtaa, jonka mukaisesti rekisteröidyllä ei ole tietosuoja-asetuksen 15 artiklassa tarkoitettua oikeutta tutustua hänestä kerättyihin tietoihin, jos henkilötietoja käytetään valvonta- ja tarkastustehtävissä ja tiedon antamatta jättäminen on välttämätöntä Suomen tai Euroopan unionin tärkeän taloudellisen tai rahoituksellisen edun turvaamiseksi. Luonnollinen henkilö voisi kuitenkin saada tiedon henkilötietojen käsittelystä sen jälkeen, kun tietojen antaminen ei enää vaaranna verovalvontaa. 

Rekisteröidyn tarkastusoikeuden rajoittaminen kaventaa yksilön perusoikeuksia. Tietosuoja-asetuksen 23 artiklan mukaisesti lailla säädetyn rajoituksen on oltava oikeasuhtainen ja siinä on noudatettava keskeisiltä osin perusoikeuksia ja -vapauksia. Tarkastusoikeuden rajoittamista voidaan pitää perusteltuna ja oikeasuhtaisena, koska vertailutietotarkastusta koskevat tietopyynnöt liittyisivät tehtäviin, jotka on listattu tietosuoja-asetuksen 23 artiklan 1 kohdassa. Tarkastusoikeus vertailutietoihin voisi siten merkittävästi vaarantaa esimerkiksi kesken olevan Verohallinnon valvontatehtävän. Tiedonhankinnan ennenaikainen paljastuminen tiedonkohteelle itselleen voisi vaarantaa kokonaan Verohallinnon valvontatoimenpiteen, jota varten vertailutietoja olisi pyydetty. Vaitiolovelvollisuus sitoisi myös tiedonantovelvollista. Vertailutietotarkastuksessa käsiteltävien tietojen tarkastusoikeudesta ei olisi tarpeen säätää erikseen, koska tietosuojalain 34 § soveltuisi myös vertailutietotarkastuksiin. 

Tarkastusoikeuden rajoituksesta huolimatta 15 artiklan mukaiset tiedot tulisi kuitenkin antaa tietosuojalain 34 §:n mukaisesti tietosuojavaltuutetulle rekisteröidyn pyynnöstä. Tietosuojavaltuutetulla olisi siten mahdollisuus arvioida henkilötietojen käsittelyn lainmukaisuutta. Ottaen huomioon tarkastusoikeudesta aiheutuvat riskit Verohallinnolle valvontatehtävissä sekä rekisteröidyn mahdollisuutta hyödyntää välillistä tarkastusoikeutta, tällaista verovalvontatoimien aikaista väliaikaista rekisteröidyn oikeuksien rajoitusta voidaan pitää perusteltuna ja perustuslain mukaisena tietosuoja-asetuksen 23 artiklan ja tietosuojalain 34 §:n 1 momentin perusteella.