§:n mukaan sanotun lain valvonta kuuluu tietosuojavaltuutetulle, jolla on lain 35 §:n mukainen oikeus antaa määräyksiä luottotietotoiminnan harjoittajalle. Tietosuojavaltuutetun päätöksestä voi luottotietolain 41 §:n mukaan valittaa siten kuin hallintolainkäyttölaissa säädetään. Tietosuojalautakunnasta ja tietosuojavaltuutetusta annetun lain 1 ja 5 §:ää on muutettu samassa yhteydessä, kun luottotietolaki on tullut voimaan, koska tietosuojavaltuutetulle annettiin luottotietolailla uusia tehtäviä ja valtuutetun tehtäviä laajennettiin. Tietosuojalautakunnasta ja tietosuojavaltuutetusta annetun lain 2 §:ää ei ole muutettu, vaan pykälän 1 kohdan mukaan tietosuojalautakunnan tehtävänä on käsitellä ja ratkaista asiat, jotka henkilötietolain mukaan kuuluvat sen päätettäviksi. Edellä mainitut tietosuojalautakunnan lupatoimivallasta ja tehtävistä annetut säännökset huomioon ottaen tietosuojalautakunnalla ei ole toimivaltaa myöntää X Oy:n vaatimaa lupaa henkilöluottotietojen käsittelylle. Tietosuojalautakunnan päätöstä ei siten ole syytä muuttaa. Käsittely korkeimmassa hallinto-oikeudessa X Oy on valituksessaan vaatinut, että korkein hallinto-oikeus kumoaa Helsingin hallinto-oikeuden päätöksen ja vahvistaa tietosuojalautakunnan lupatoimivallan henkilöluottotietojen käsittelyä koskien sekä myöntää henkilötietolain 43 §:n nojalla X Oy:lle luvan kysymyksessä olevaan henkilötietojen käsittelyyn. Vaatimusten perusteluina on esitetty muun ohella seuraavaa: Tietosuojalautakunnan lupatoimivalta X Oy:n käsityksen mukaan tietosuojalautakunnalla on ja tulee olla henkilötietolain perusteella toimivalta myöntää lupa henkilöluottotietojen käsittelyyn. Luottotietolaissa mainitut henkilöluottotiedot ovat samalla myös henkilötietolain 3 §:n tarkoittamia henkilötietoja eli luonnollista henkilöä taikka hänen ominaisuuksiaan tai elinolosuhteitaan kuvaavia merkintöjä, jotka voidaan tunnistaa häntä tai hänen perhettään tai hänen kanssaan yhteisessä taloudessa eläviä koskeviksi. Luottotietolain 1 §:n 2 momentin nojalla luonnollista henkilöä koskevien tietojen käsittelyyn sovelletaan henkilötietolakia, jollei luottotietolaissa toisin säädetä. Samoin henkilötietolain 2 §:n 1 momentissa on säädetty, että henkilötietoja käsiteltäessä on noudatettava, mitä henkilötietolaissa säädetään, jollei muualla laissa toisin säädetä. Henkilötietolaki onkin yleislaki, joka soveltuu henkilötietojen käsittelyyn, jollei erityislaeissa muuta ole säädetty. Luottotietolaissa ei erikseen säädetä lupatoimivallasta, jolloin sovellettavaksi tulevat henkilötietolain säännökset asiasta. Se, että luottotietolaissa ei ole nimenomaista säännöstä tietosuojalautakunnan lupatoimivallasta, ei poista lautakunnan toimivaltaa. Hallinto-oikeuden laintulkinta ei vastaa suomalaista laintulkintaoppia, jonka mukaan erityislaki syrjäyttää ristiriitatilanteessa yleislain. Mikäli erityislaissa ei ole jostain asiasta säädetty, normien välistä ristiriitaa ei synny ja yleislaki, tässä tapauksessa henkilötietolaki, soveltuu asian käsittelyyn. Henkilöluottotiedot ovat myös henkilötietoja. Kuten hallinto-oikeuden päätöksessä todetaan, tietosuojalautakunta voi henkilötietolain 43 §:n mukaan myöntää luvan henkilötietojen käsittelyyn. Vailla merkitystä on se, että sanotussa pykälässä ei viitata luottotietolakiin. Henkilötietolaissa (2 §) ja luottotietolaissa (1 §) todetaan yksiselitteisesti, että henkilötietolaki soveltuu henkilötietojen käsittelyyn, jollei muuta ole luottotietolaissa säädetty. Hallinto-oikeuden tulkinta luottotietolain ja henkilötietolain välisestä suhteesta on virheellinen. Luottotietolaissa ei ole erikseen säädetty lupatoimivallasta, jolloin henkilötietolain lupatoimivaltaa koskeva säännös soveltuu. On selvää, että lainsäädäntöteknisesti tämän kaltaisen lupatoimivallan säätäminen luottotietolakiin ei ole ollut tarpeen, koska asiasta on jo säädetty henkilötietolaissa. Kysymys ei ole tietosuojalautakunnan toimivallan laajentamisesta, vaan sen toimivaltaan kuuluvasta asiasta. Luottopäätössuosituksia koskevan toiminnan kuvaus X Oy:n luottopäätöspalvelu tekee luotonantajille luottopäätössuosituksia yhteistyössä luotonantajien kanssa. Luottopäätössuosituksia voidaan tehdä yksityishenkilöistä. Itse luottopäätöksen tekee kaikissa tilanteissa luotonantaja. Palvelu perustuu luotonsaajan ja luotonantajan nimenomaiseen toimeksiantoon. Luotonhakija antaa X Oy:lle toimeksiannon luovuttaa itseään koskevat perintätiedot yhtiön rekistereistä luotonantajalle luottohakemuksen käsittelyä varten. Tiedot voidaan luovuttaa vain pisteiden muodossa eikä yksittäisinä velkatietoina. Pisteet muodostuvat julkisista maksuhäiriötiedoista, luotonhakijan luottohakemuksesta ilmenevistä tiedoista ja X Oy:n perintärekistereissä olevista tiedoista. Jos luottohakemus hylätään X Oy:ltä saatujen pistetietojen vuoksi, luotonhakijalla on oikeus saada tietää hylkäyksen syy. X Oy ylläpitää perintärekistereitä päämiestensä lukuun. Oleellista on, että pisteitä muodostettaessa yllä kuvattujen tietojen hyödyntäminen perustuu luotonhakijan toimeksiantoon eli nimenomaiseen, toimeksiantokohtaiseen suostumukseen. Perintärekisteritietojen pisteytys perustuu siihen, onko luotonhakijalla omia avoimia perintätoimeksiantoja X Oy:ssä vai ei. Pistetieto ei sisällä tietoa perintätoimeksiannon sisällöstä. Pistetietoon vaikuttavat myös X Oy:ssä viimeisen kuuden kuukauden aikana lopetetut asiat. Lopetettu asia vaikuttaa pisteisiin vain positiivisesti eli helpottaa luotonsaantia. Luotonhakija voi saada luottoa, vaikka hänellä olisi julkisia maksuhäiriöitä hoidetuista vastuista. Tiedon kulku luottopäätöspalvelussa on itse asiassa sama kuin jos rekisteröity valtuuttaisi edustajansa hakemaan perintärekisteristä itseään koskevan tiedon ja luovuttamaan sen luottolaitokselle otettavaksi huomioon luottopäätöstä harkittaessa. Tällainen menettely ei rikkoisi mitään lakia. Perintätietojen hyödyntäminen ei voi rikkoa luotonhakijan yksityisyyden suojaa. Henkilö, joka ei syystä tai toisesta halua, että perintätietoja hyödynnetään, ei anna toimeksiantoa niiden hyödyntämiseen. Luottopäätössuositus voidaan tällöin antaa julkisten maksuhäiriötietojen ja luotonhakijan antamien tietojen nojalla. Vaikka henkilöllä olisi maksuhäiriöitä, luottopäätössuositus voi johtaa luoton myöntämiseen. Luottotietolain ja henkilötietolain välisestä suhteesta Luottotietolain valmistelussa lähtökohta oli se, että esimerkiksi perintätietoja ei sisällytetä yhtenäisesti ylläpidettävään luottotietorekisteriin, mutta luotonantajalla on mahdollisuus selvittää luotonhakijan taloudellinen tilanne tämän suostumuksella eri lähteistä. Juuri tästä X Oy:n luottopäätöspalvelussa on kysymys. Siltä osin kuin henkilötietolaki asettaisi esteitä toiminnalle, sille on yhtiön käsityksen mukaan myönnettävissä henkilötietolain 43 §:n mukainen lupa. Myös luottotietolaki tunnistaa sen, että tietolähteitä voi olla monia. Mainitun lain 6 §:n nojalla luottotietoina käytettävät henkilötiedot on hankittava rekisteröidyltä itseltään, luottotietorekisteristä tai niistä viranomaisten rekistereistä, joihin kyseisiä tietoja talletetaan yleistä käyttöä varten, jollei oikeudesta tietojen käyttöön säädetä laissa tai määrätä lain nojalla tehdyssä päätöksessä. Rekisteröidyn suostumuksella tietoja saadaan hankkia myös muista tietolähteistä, jos tietojen tällainen käsittely luovuttamista varten on sallittua henkilötietolain ja muun henkilötietojen käsittelyä koskevan lain nojalla. X Oy:n käsityksen mukaan luottotietolain 1 ja 6 § sekä lakia koskevan hallituksen esityksen HE 241/2006 vp lausuma ilmentävät selvästi, että rekisteröidyn suostumuksella (toimeksiannosta) luottopäätöspalvelussa saa käsitellä myös muita kuin luottotietolain 4 luvussa lueteltuja tietoja. Edellytyksenä on, että tällainen käsittely on henkilötietolain nojalla sallittua. Lainkohta ilmentääkin henkilötietolain asemaa yleislakina, joka tulee ottaa huomioon erityislakina säädetyn luottotietolain lisäksi. Tietosuojalautakunnan olisi tullut antaa lupa rekisteröidyn suostumuksella tapahtuvaan tietojen käsittelyyn, joka tapahtuu henkilötietolain 43 §:ssä tarkoitetulla tavalla rekisterinpitäjän tai tiedot saavan sivullisen oikeutetun edun toteuttamiseksi. X Oy:n luvan tarve Kuten edeltä ilmenee, X Oy:n luottopäätöspalvelussa annettavat pisteet muodostuvat seuraavista tekijöistä: 1) julkiset maksuhäiriötiedot, 2) luotonhakijan luottohakemuksesta ilmenevät tiedot ja 3) X Oy:n perintärekistereissä olevat tiedot. Kohdan 1 tiedot ovat ainoastaan luottotietolain 4 luvun 13 §:n 3 kohdan mukaisia tietoja. Yhtiö ei tarvitse erillistä lupaa tältä osin. Kohdan 2 tiedot yhtiö saa luotonhakijalta itseltään. Mikäli näiden tietojen käyttämiseen liittyisi henkilötietolain soveltamista koskeva ongelma, yhtiö pyytää, että tietojen käsittelyyn myönnetään lupa henkilötietolain 43 §:n nojalla. Luottotietolakiongelmaa tähän kysymykseen ei pitäisi liittyä ottaen huomioon hallituksen esityksen lausuma siitä, että luotonantaja voi joka tapauksessa selvittää luotonhakijan taloudellisen tilanteen tämän suostumuksella eri lähteistä. Kohdan 3 tietojen osalta tietosuojavaltuutettu on kannanotossaan 29.9.2006 katsonut, että henkilötietolain käyttötarkoitussidonnaisuus estää tietojen käytön edes suostumuksella. Yhtiö pyytää, että lupa myönnetään henkilötietolain 43 §:n nojalla. Luottotietolakiongelmaa tähänkään kysymykseen ei pitäisi liittyä ottaen huomioon hallituksen esityksen lausuma. X Oy:n toiminnassa ei ole kysymys siitä, että yhtiön "luottotietorekisteriin" rekisteröitäisiin luottotietoja laajemmin kuin mitä luottotietolaki sallii. Luottotietolain 2 §:stä ilmenee, että lain lähtökohtana on muun muassa turvata luotonhakijan oikeus tulla arvioiduksi oikeiden ja asianmukaisten tietojen perusteella. Luotonhakijan toimeksiannosta tapahtuva perintätietojen käsittely turvaa juuri tätä periaatetta ja luottotietolakia tulee tulkita tämän lähtökohdan mukaisesti. Lain tulkinta ei voi johtaa tilanteeseen, jossa edes luotonhakijan suostumuksella luottopäätöspalvelussa ei voitaisi ottaa huomioon tietoja luotonhakijan veloista ja niiden hoitamisesta (niin sanotut positiiviset luottotiedot). X Oy:n käsityksen mukaan luottopäätöspalvelutoiminta ei riko henkilötietolakia tai luottotietolakia, koska perintätietojen hyödyntäminen perustuu kaikissa tilanteissa luotonhakijan nimenomaiseen toimeksiantoon. Tietoja ei hyödynnetä automaattisesti eikä niitä missään olosuhteissa luovuteta ilman, että nimenomainen toimeksianto on annettu. X Oy turvaa rekisteröidyn yksityisyyden suojan. Hallinto-oikeus on päätöksessään 20.3.2008 vahvistanut, että toimeksiantoa ei voida katsoa epäaidoksi. Hallinto-oikeus on samoin vahvistanut, että toimeksiannon antaminen perustuu luotonhakijan itsemääräämisoikeuteen. Hallinto-oikeus on edelleen katsonut, että X Oy:n toiminta ei ole ristiriidassa käyttötarkoitussidonnaisuuden periaatteen kanssa. Asian pitkä käsittelyhistoria ja tarve saada pääasiaan korkeimman hallinto-oikeuden päätös X Oy:n luottopäätöspalveluun liittyvää asiaa on käsitelty vuodesta 2006 alkaen tietosuojavaltuutetun toimistossa, tietosuojalautakunnassa ja Helsingin hallinto-oikeudessa. Asian käsittelyn aikana myös sovellettava lainsäädäntö on osittain ehtinyt muuttua, kun henkilötietolaki on muuttunut ja luottotietolaki on tullut voimaan 1.11.2007. X Oy vaatii, että korkein hallinto-oikeus paitsi kumoaa hallinto-oikeuden päätöksen myös ratkaisee pääasian eli myöntää yhtiölle luvan käyttää luotonhakijoiden suostumuksella heitä itseään koskevia perintätietoja yhtiön luottopäätöspalvelun yhteydessä. Hallintotuomioistuin voi korvata valituksenalaisen päätöksen omallaan. Koska kysymyksessä on yhtiön liiketoimintaan huomattavasti vaikuttava asia, on sen oikeusturvan kannalta tärkeää, että asiassa saadaan lopullinen ratkaisu eikä asiaa käsitellä tietosuojalautakunnassa ja hallinto-oikeudessa enää kolmatta kertaa. Asiassa on kysymys luotonhakijan ja rekisteröidyn itsemääräämisoikeuden käyttämisestä. Hallinto-oikeuden päätöksessä 20.3.2008 on todettu, että henkilötietolain ja tietosuojadirektiivin 95/46/EY keskeisiä lähtökohtia ovat rekisteröidyn yksityisyyden suoja ja itsemääräämisoikeus. Luotonhakija voi itsemääräämisoikeutensa puitteissa antaa toimeksiannon, jolla X Oy oikeutetaan hyödyntämään rekisteröityä koskevia tietoja luottopäätössuosituksia tehtäessä. Korkeimman hallinto-oikeuden tulee myöntää tähän edellä kuvattuun toimintaan lupa. Tietosuojalautakunta on lausunnossaan esittänyt, että valitus hylätään. Lautakunta on lausunut muun ohella seuraavaa: Toimivaltaansa koskevan kysymyksen osalta lautakunta viittaa asiassa aiemmin lausumaansa. Tämän lisäksi lautakunta toteaa, että luottotietolaissa mainitut henkilöluottotiedot ovat, kuten X Oy huomauttaa, myös henkilötietolain 3 §:ssä tarkoitettuja henkilötietoja. Tällä seikalla ei kuitenkaan ole merkitystä arvioitaessa tietosuojalautakunnan toimivaltaa, vaan olennaista on se, että luottotietolaissa on säädetty tyhjentävästi siitä, mitä luottotietoja luottotietorekisteriin voidaan luonnollisista henkilöistä tallettaa. Tämän vuoksi lautakunnalla ei ole toimivaltaa myöntää X Oy:lle lupaa henkilöluottotietojen käsittelyyn. Rekisteröidyn suostumuksella ei voida poiketa tästä. Luottotietolaissa ei ole säädetty avoimia perintätoimeksiantoja koskevien tietojen käsittelystä henkilöluottotietoina. Hoidettuja maksuja koskevien tietojen ei voida kaikissa tapauksissa katsoa olevan luottotietolain 13 §:n 8 kohdassa tarkoitettuja suorituksen maksutietoja. X Oy on vastaselityksessään esittänyt muun ohella seuraavaa: X Oy on osoittanut, että tietosuojalautakunnalla on henkilötietolain 43 §:n perusteella toimivalta myöntää lupa rekisteröidyn suostumuksella tapahtuvaan henkilötietojen käyttöön luottopäätöspalvelun yhteydessä. Yhtiö vaatii, että korkein hallinto-oikeus vahvistaa tämän lupatoimivallan. X Oy on osoittanut myös, että tietojen käsittelyyn tarvittavat luvan myöntämisen edellytykset täyttyvät rekisteröidyn itsemääräämisoikeuteen perustuen. Luotonhakija voi antaa henkilötietolain nojalla toimeksiannon tai suostumuksen, jolla yhtiö oikeutetaan luovuttamaan luotonmyöntäjälle luotonhakijaa koskevaa maksutietoa. Tällä menettelyllä sellainenkin luotonhakija, jolla on maksuhäiriöitä, voi saada uutta luottoa. Yhtiö vaatii, että korkein hallinto-oikeus myöntää luvan rekisteröidyn suostumuksella tapahtuvaan henkilötietojen käyttöön luottopäätöspalvelun yhteydessä. Korkeimman hallinto-oikeuden ratkaisu Korkein hallinto-oikeus on tutkinut asian. Valitus hylätään. Helsingin hallinto-oikeuden päätöksen lopputulosta ei muuteta. Perustelut Sovellettavat ja asiaan muutoin liittyvät oikeusohjeet Luottotietolain säännökset Marraskuun 1. päivänä 2007 voimaan tulleen luottotietolain (527/2007) 1 §:n 1 momentin mukaan mainittua lakia sovelletaan luottotietojen keräämiseen, tuottamiseen, tallettamiseen, luovuttamiseen, käyttöön ja muuhun käsittelyyn. Pykälän 2 momentin mukaan luonnollista henkilöä koskevien tietojen käsittelyyn sovelletaan henkilötietolakia (523/1999), jollei luottotietolaissa toisin säädetä.
§:n mukaan mainitun lain yleinen valvonta kuuluu tietosuojavaltuutetulle. Luottotietolain 35 §:n mukaan tietosuojavaltuutetulla on oikeus: 1) antaa rekisterinpitäjälle rekisteröidyn hakemuksesta määräys rekisteröidyn tarkastusoikeuden toteuttamisesta tai virheellisen tiedon oikaisemisesta; 2) velvoittaa luottotietotoiminnan harjoittaja määräajassa oikaisemaan, mitä yritysluottotietojen käsittelyssä on oikeudettomasti tehty tai laiminlyöty; ja 3) velvoittaa luottotietotoiminnan harjoittaja ryhtymään toimenpiteisiin 3 luvussa säädettyjen velvollisuuksiensa hoitamiseksi. Luottotietolain 36 §:n mukaan tietosuojavaltuutettu voi asettaa muun ohella saman lain 35 §:n nojalla tekemänsä päätöksen tehosteeksi uhkasakon siten kuin uhkasakkolaissa (1113/1990) säädetään. Luottotietolain 41 §:n mukaan tietosuojavaltuutetun saman lain 35 §:n nojalla tekemään päätökseen haetaan muutosta valittamalla noudattaen, mitä hallintolainkäyttölaissa (586/1996) säädetään. Henkilötietolain säännökset Henkilötietolain (523/1999) 40 §:n 1 momentin mukaan tietosuojavaltuutetun on edistettävä hyvää tietojenkäsittelytapaa sekä ohjein ja neuvoin pyrittävä siihen, että lainvastaista menettelyä ei jatketa tai uusita. Tarvittaessa tietosuojavaltuutetun on saatettava asia tietosuojalautakunnan päätettäväksi taikka ilmoitettava se syytteeseen panoa varten. Pykälän 2 momentin mukaan tietosuojavaltuutetun on ratkaistava asia, jonka rekisteröity on saattanut henkilötietolain 28 ja 29 §:n nojalla hänen käsiteltäväkseen. Tietosuojavaltuutettu voi antaa rekisterinpitäjälle määräyksen rekisteröidyn tarkastusoikeuden toteuttamisesta tai tiedon korjaamisesta. Pykälän 3 momentin mukaan tietosuojavaltuutettu voi antaa tarkempia ohjeita siitä, miten henkilötiedot on suojattava henkilötietojen laittomalta käsittelyltä. Henkilötietolain 43 §:n 1 momentin mukaan tietosuojalautakunta voi antaa 8 §:n 1 momentin 9 kohdassa tarkoitetun luvan henkilötietojen käsittelyyn, jos käsittely on tarpeen rekisteröidyn elintärkeän edun suojaamiseksi muussa kuin yksittäistapauksessa taikka yleistä etua koskevan tehtävän suorittamiseksi tai sellaisen julkisen vallan käyttämiseksi, joka kuuluu rekisterinpitäjälle tai sivulliselle, jolle tiedot luovutetaan. Lupa voidaan myöntää myös rekisterinpitäjän tai tiedot saavan sivullisen oikeutetun edun toteuttamiseksi edellyttäen, ettei tietojen tällainen käsittely vaaranna henkilön yksityisyyden suojaa ja oikeuksia. Henkilötietolain 44 §:n mukaan tietosuojalautakunta voi tietosuojavaltuutetun hakemuksesta: 1) kieltää mainitun lain tai sen nojalla annettujen säännösten ja määräysten vastaisen henkilötietojen käsittelyn; 2) velvoittaa muissa kuin mainitun lain 40 §:n 2 momentissa tarkoitetuissa asioissa asianomaisen määräajassa oikaisemaan sen, mitä on oikeudettomasti tehty tai laiminlyöty; 3) määrätä rekisteritoiminnan lopetettavaksi, jos lainvastaiset toimet tai laiminlyönnit huomattavasti vaarantavat rekisteröidyn yksityisyyden suojaa tai hänen etujaan tai oikeuksiaan, jollei rekisteristä ole laissa säädetty; sekä 4) peruuttaa mainitun lain 43 §:ssä tarkoitetun luvan, kun edellytyksiä luvan myöntämiselle ei enää ole tai kun rekisterinpitäjä toimii luvan tai siihen liitettyjen määräysten vastaisesti. Tietosuojalautakunnasta ja tietosuojavaltuutetusta annetun lain säännökset Tietosuojalautakunnasta ja tietosuojavaltuutetusta annetun lain (389/1994) 2 §:n (524/1999) mukaan tietosuojalautakunnan tehtävänä on: 1) käsitellä ja ratkaista asiat, jotka henkilötietolain mukaan kuuluvat sen päätettäviksi; sekä 2) seurata henkilötietojen käsittelyä koskevan lainsäädännön kehittämistarvetta ja tehdä tarpeelliseksi katsomiaan aloitteita. Tietosuojalautakunnasta ja tietosuojavaltuutetusta annetun lain 5 §:n mukaan tietosuojavaltuutetun tehtävänä on: 1) käsitellä ja ratkaista henkilötietojen ja luottotietojen käsittelyä koskevat asiat siten kuin henkilötietolaissa ja luottotietolaissa säädetään sekä hoitaa muut mainituista laeista johtuvat tehtävät (529/2007); 2) seurata henkilötietojen ja luottotietojen käsittelyn yleistä kehitystä ja tehdä tarpeelliseksi katsomiaan aloitteita (529/2007); 3) huolehtia toimialaansa kuuluvasta tiedotustoiminnasta; sekä 4) huolehtia henkilötietojen käsittelyyn liittyvästä kansainvälisestä yhteistyöstä. Korkeimmasta hallinto-oikeudesta annetun lain säännökset Korkeimmasta hallinto-oikeudesta annetun lain 2 §:n 1 momentin mukaan lainkäyttöasioina korkein hallinto-oikeus käsittelee ne muutoksenhakua ja ylimääräistä muutoksenhakua koskevat asiat, jotka sen mukaan kuin siitä muualla laissa säädetään kuuluvat korkeimman hallinto-oikeuden toimivaltaan. Oikeudellinen arviointi ja lopputulos Nyt esillä olevassa asiassa on ratkaistavana kysymys siitä, onko tietosuojalautakunnalla toimivalta myöntää lupa poiketa luottotietolain säännöksistä. Luottotietolaissa tai henkilötietolaissa tietosuojalautakunnalle ei ole säädetty tällaista toimivaltaa. Luottotietotoiminnan harjoittaminen ei ole luottotietolain eikä henkilötietolain nojalla luvanvaraista, vaan toiminnan harjoittamisen edellytyksenä on, että toiminnanharjoittaja noudattaa asianomaisten lakien säännöksiä. Toiminnanharjoittajan on luottotietolain 38 §:n mukaan kuitenkin tehtävä tietosuojavaltuutetulle ilmoitus toiminnastaan.
§:n mukaan tämän lain yleinen valvonta kuuluu tietosuojavaltuutetulle, joka lain 35 §:n nojalla voi antaa määräyksiä luottotietotoiminnan harjoittajalle. Luonnollista henkilöä koskevien tietojen käsittelyyn sovelletaan luottotietolain 1 §:n 2 momentin mukaan henkilötietolakia, jollei luottotietolaissa toisin säädetä. Tietosuojavaltuutetun toimenpiteitä koskevasta toimivallasta säädetään henkilötietolain 40 §:ssä ja tietosuojalautakunnan määräysten antamista koskevasta toimivallasta saman lain 44 §:ssä. Edellä lausutun vuoksi ja kun lisäksi otetaan huomioon edellä ilmenevät Helsingin hallinto-oikeuden päätöksen perustelut ja päätöksessä mainitut oikeusohjeet sekä korkeimmassa hallinto-oikeudessa esitetyt vaatimukset ja asiassa saatu selvitys, ei ole perusteita muuttaa lopputulokseltaan hallinto-oikeuden päätöstä, jolla on katsottu, että tietosuojalautakunnalla ei ole toimivaltaa myöntää X Oy:n vaatimaa lupaa henkilöluottotietojen käsittelylle. Tietosuojalautakunnan oli siten tullut jättää X Oy:n henkilötietolain 43 §:ssä tarkoitettu poikkeuslupahakemus tutkimatta. Sen toimivaltaan ei toisaalta myöskään ole kuulunut sisällyttää päätökseensä lausumia ja käsityksiä siitä, onko yhtiön tarkoittama toiminta luottotietolain mukaista. Yhtiön vaatiman luvan myöntäminen ei liioin kuulu korkeimman hallinto-oikeuden toimivaltaan. Asian ovat ratkaisseet hallintoneuvokset Pekka Vihervuori, Sakari Vanhala, Hannu Ranta, Eija Siitari-Vanne ja Heikki Harjula. Asian esittelijä Mikko Rautamaa.
Tekoälyselitys virallisen lakitekstin pohjalta. Suuntaa antava, ei korvaa oikeudellista neuvontaa.