Laki luottotietolain muuttamisesta Eduskunnan päätöksen mukaisesti kumotaan luottotietolain (527/2007) 3 §:n 4 kohta, 20 §:n 3 momentti, 21 §:n 3 kohta ja 29 §, sellaisena kuin niistä on 29 § laissa 7

§:ssä tarkoitettuja tietoja saa luovuttaa käytettäviksi vain luoton myöntämistä ja luoton valvontaa varten. Sen estämättä, mitä 1 momentissa säädetään, 12 §:

§:ssä tarkoitettuja tietoja saa luovuttaa käytettäviksi: 2) viranomaisen yritystoimintaa varten antaman tuen myöntämistä varten, jos henkilö toimii tukea hakeneen yrityksen vastuuhenkilönä; 7) luotto- ja vakuutuslaitokselle henkilön velvoitteiden hoitokyvystä tämän pyynnöstä annettavan todistuksen tai suosituksen laadintaa varten sekä rahanpesun ja terrorismin rahoittamisen estämisestä annetussa laissa (444/2017) tarkoitetuille ilmoitusvelvollisille asiakkaan tuntemistoimia koskevien velvoitteiden toteuttamiseksi; 10) tieteellistä tutkimusta, tilastointia ja viranomaisen suunnittelu- ja selvitystehtävää varten ottaen huomioon, mitä tietosuoja-asetuksessa ja tietosuojalaissa (1050/2018) säädetään. Yrityksen vastuuhenkilöitä koskevien henkilöluottotietojen käsittelystä yrityksen luottokelpoisuuden arvioimiseksi säädetään 26 ja 27 §:ssä. Luonnollisella henkilöllä on oikeus saada tieto siitä, kenelle häntä koskeva 12 §:n 1 momentissa, 13 tai 23 §:ssä tarkoitettu tieto on viimeisen vuoden aikana luovutettu. Sen, joka hankkii luottotietorekisteristä henkilöluottotietoja käytettäviksi luottoa myönnettäessä tai 2 momentin 4–6 kohdassa säädettyyn tarkoitukseen, on huolehdittava siitä, että luonnollinen henkilö voi saada ennakolta tiedon henkilöluottotietojensa käytöstä ja siitä, mistä luottotietorekisteristä tiedot hankitaan. Luottotietorekisteristä henkilöluottotietoja hankkineen, joka hylkää luottohakemuksen 12 §:n 1 momentissa tai 13 §:ssä tarkoitettujen tietojen perusteella, on välittömästi päätöksen jälkeen ilmoitettava luonnolliselle henkilölle tällaisesta luottotiedon käytöstä ja siitä, mistä luottotietorekisteristä tiedot ovat peräisin. 20 § Henkilöluottotietojen luovuttaminen sähköisesti Edellä 12 §:

§:ssä tarkoitettuja tietoja saa luovuttaa teknisen käyttöyhteyden avulla 19 §:ssä tarkoitettuihin tarkoituksiin edellyttäen, että: 21 § Yrityksen perustiedot Jollei yritys tai sen edustaja tai vastuuhenkilö ole antanut muuhun suostumustaan, yrityksen perustietoina saa luottotietorekisteriin tallettaa: 22 § Viranomaisen rekisteristä poikkeavan merkinnän tekeminen Luottotietotoiminnan harjoittaja voi tehdä rekisteriin yrityksen vastuuhenkilöä kuvaavan merkinnän, joka poikkeaa viranomaisen julkiseen rekisteriin tehdystä merkinnästä, jos viranomaisen rekisterissä oleva merkintä ei sen tallettamisajankohdan tai muun sellaisen syyn vuoksi anna oikeaa kuvaa yrityksen toiminnasta ja siitä tai sen maksuhäiriöistä vastuussa olevista tai yrityksessä tosiasiallista määräysvaltaa käyttävistä tai käyttäneistä henkilöistä. Luottotietotoiminnan harjoittajan on ennen merkinnän tekemistä tai tiedon käyttämistä yrityksen luottokelpoisuuden arvioinnissa annettava yritykselle tilaisuus pyytää viranomaista täydentämään tai oikaisemaan sen rekisterissä oleva tieto, jollei tämä ole ilmeisen tarpeetonta. Luottotietotoiminnan harjoittajan 1 momentin mukaisesti tekemästä merkinnästä tulee käydä ilmi, että se on tehty tämän lain nojalla. Mitä tässä laissa säädetään yrityksen vastuuhenkilöä koskevista tiedoista, sovelletaan myös 1 momentissa tarkoitettuihin luottotietotoiminnan harjoittajan tekemiin merkintöihin. 23 § Tiedot liiketoimintakiellosta Luottotietorekisteriin saa tallettaa tiedot henkilöstä, joka on määrätty liiketoimintakiellosta annetussa laissa (1059/1985) tarkoitettuun liiketoimintakieltoon, samoin kuin tiedon liiketoimintakiellon kestosta. Luottotietotoiminnan harjoittaja saa luovuttaa tiedon voimassa olevasta liiketoimintakiellosta luottotiedon käyttäjälle, jos se on tarpeen 19 §:ssä säädettyyn tarkoitukseen. Tiedon saa luovuttaa teknisen käyttöyhteyden avulla tai muutoin sähköisesti. Tietoa ei kuitenkaan saa julkaista yleisessä tietoverkossa. 24 § Yrityksen maksuhäiriöitä koskevat ja niitä täydentävät tiedot Yrityksen maksuhäiriötietoina saa luottotietorekisteriin tallettaa: 1) konkurssi- ja yrityssaneerausrekisteristä annetussa laissa tarkoitettuun konkurssi- ja yrityssaneerausrekisteriin merkityt tiedot velallisesta ja asian käsittelystä; 2) tiedot maksun laiminlyönnistä, joka on todettu tuomioistuimen lainvoimaisella tuomiolla tai yksipuolisella tuomiolla taikka velallisen hyväksymän vekselin protestilla; 4) julkisesta haasteesta annetun lain 10 §:ssä tarkoitettuun kuulutusrekisteriin merkityt tiedot velallisesta; 6) tiedon velallisen velkojalle antamasta kirjallisesta ilmoituksesta, jolla hän tunnustaa lyöneensä maksun laimin; Luottotietorekisteriin on lisäksi velallisen pyynnöstä ja tämän antaman luotettavan selvityksen perusteella merkittävä tieto siitä, että maksuhäiriö on syntynyt takausvastuun tai vierasvelkapanttauksen johdosta, sekä velallisen luottotietotoiminnan harjoittajalle toimittama pesänhoitajan velallisselvitykseen sisältyvä tieto konkurssin pääasiallisista syistä. Rekisteriin voidaan merkitä muukin velallisen antama tieto maksuhäiriömerkintään johtaneista tekijöistä ja maksuhäiriön alkuperäisestä ajankohdasta. Luottotietotoiminnan harjoittajan on, jos se yleisesti saatavilla olevien tai luottotietotoiminnan harjoittajalle toimitettujen tietojen perusteella on mahdollista, merkittävä luottotietorekisteriin, mitkä merkinnät aiheutuvat saman saatavan laiminlyönnistä. Merkintä on kuitenkin aina tehtävä velallisen pyynnöstä tämän antaman luotettavan selvityksen perusteella. 26 § Yritysten vastuuhenkilöitä koskevien henkilöluottotietojen käsittely Luottotietotoiminnan harjoittaja saa yhdistää yrityksen vastuuhenkilöitä koskevat henkilöluottotiedot yritysluottotietorekisteriin. Vastuuhenkilöitä koskevia maksuhäiriötietoja saa luovuttaa teknisen käyttöyhteyden avulla tai muutoin sähköisesti 19 §:ssä säädettyjen edellytysten täyttyessä. 27 § Yrityksen luottokelpoisuusarvioinnissa käytettävät tiedot Luottotietorekisteriin talletettavaa tai sen avulla saatavaa yrityksen luottokelpoisuusluokkaa tai muuta luottokelpoisuutta osoittavaa arviointitietoa muodostettaessa saa yrityksestä käyttää yrityksen perustietojen sekä 21–25 §:ssä tarkoitettujen tietojen lisäksi vain yrityksen itse luottotietotoiminnan harjoittajalle toimittamia tietoja. 28 § Rekisterimerkintöjen säilyttämisajat Yritysluottotietorekisteristä on poistettava tiedot seuraavasti: 1) konkurssia koskevat tiedot kuukauden kuluessa siitä, kun tiedot on poistettu konkurssi- ja yrityssaneerausrekisteristä; tiedot poistetaan kuitenkin viimeistään viiden vuoden kuluttua konkurssin alkamisesta; 2) yrityssaneerausta ja kuulutuksia koskevat tiedot kuukauden kuluessa siitä, kun niitä vastaavat merkinnät on poistettu siitä viranomaisen rekisteristä, josta tiedot ovat peräisin; 3) ulosottotieto heti, kun ulosottomies on tehnyt peruuttamisilmoituksen, joka koskee pitkäkestoista tai aiheetonta ulosottoa; 4) muu ulosottotieto heti, kun luottotietotoiminnan harjoittaja on saanut tiedon siitä, että ulosottoperuste on kumottu tai velallinen on maksanut velan, jota perittiin suppeassa ulosotossa; 5) tieto velallisen tunnustamasta maksuhäiriöstä kahden vuoden kuluessa merkinnän tekemisestä; 6) maksutapaa ja luottokelpoisuusluokitusta koskeva merkintä kuuden kuukauden kuluessa sen tekemisestä, jollei sitä korvata mainittuna aikana uudella merkinnällä; 7) 24 §:n 1 momentin 2, 3, 5 ja 7 kohdassa tarkoitetut maksuhäiriötiedot viimeistään kolmen vuoden kuluttua siitä, kun tieto on talletettu rekisteriin, jollei tietoa ole sitä ennen poistettava tämän momentin 3 tai 4 kohdan nojalla; 8) liiketoimintakieltoa koskevat merkinnät, kun liiketoimintakielto päättyy. Jos luottotietotoiminnan harjoittajalle on tullut tieto sellaisen saatavan suorittamisesta, jonka laiminlyönnistä 24 §:n 1 momentin 2, 3, 5 tai 7 kohdassa tarkoitettu merkintä on syntynyt, maksuhäiriötieto poistetaan yhden kuukauden kuluessa saatavan suorittamista koskevan tiedon saamisesta. 7 luku Oikeus saada tietoja ja virheen oikaisu 30 § Yrityksen oikeus saada tietoja Yrityksellä ja sen edustajalla ja vastuuhenkilöllä on oikeus saada tietää, mitä tietoja yrityksestä ja sen vastuuhenkilöistä on talletettu luottotietorekisteriin ja mistä rekisteriin talletetut tiedot ovat peräisin. Yrityksellä ja sen edustajalla ja vastuuhenkilöllä ei kuitenkaan ole oikeutta saada tietoa niistä yrityksistä, joiden antamia tietoja luottotietotoiminnan harjoittaja käyttää maksutapaa koskevan tiedon muodostamisessa. Tietosuoja-asetuksessa tarkoitetun rekisteröidyn oikeudesta saada tietoja säädetään tietosuoja-asetuksessa. 30 a § Rajoitus rekisteröidyn oikeudesta saada tietoja Tietosuoja-asetuksessa tarkoitetulla rekisteröidyllä ei ole oikeutta saada tietoa tahosta, jolle häntä koskeva henkilöluottotieto on luovutettu, jos tietoja on luovutettu rahanpesun ja terrorismin rahoittamisen estämisestä annetussa laissa tarkoitetulle ilmoitusvelvolliselle poikkeavia liiketoimia koskevan selonottovelvollisuuden hoitamista varten taikka jos tietoja on luovutettu rahanpesun selvittelykeskukselle rahanpesun tai terrorismin rahoittamisen estämiseksi, paljastamiseksi tai selvittämiseksi. Kun rekisteröidyn oikeutta saada tietoja rajoitetaan 1 momentin nojalla, on noudatettava, mitä tietosuojalain 34 §:n 3 ja 4 momentissa säädetään. 31 § Virheen oikaisu Luottotietotoiminnan harjoittajan on ilman aiheetonta viivytystä oikaistava luottotietorekisterissä tai luottokelpoisuuden osoittavassa arviointitiedossa oleva virheellinen, puutteellinen, vanhentunut tai muutoin harhaanjohtava tieto. Yrityksen, sen edustajan tai vastuuhenkilön pyynnöstä on yritysluottotiedossa olleen virheen oikaisusta ilmoitettava sille, joka on yrityksen tai sen edustajan tai vastuuhenkilön mukaan saanut virheellisen yritysluottotiedon. Virheellisen henkilötiedon oikaisemisesta säädetään tietosuoja-asetuksessa. 31 a § Kielteinen päätös Luottotietotoiminnan harjoittajan on annettava kirjallinen päätös, jos se kieltäytyy antamasta 30 §:ssä tarkoitettua tietoa tai oikaisemasta 31 §:n 1 momentissa tarkoitettua virheellistä tietoa. Päätöksestä tulee käydä ilmi ne lainkohdat ja tosiseikat, joihin kieltäytyminen perustuu. Päätökseen tulee liittää tieto oikeudesta saattaa asia tietosuojavaltuutetun käsiteltäväksi. 32 § Oikeus käyttää omaa kieltä Luonnollisella henkilöllä, joka käyttää tietosuoja-asetuksen mukaisia rekisteröidyn oikeuksiaan tai tämän lain 31 §:n mukaista oikeuttaan, ja yrityksellä, joka käyttää 30 tai 31 §:n mukaista oikeuttaan, on oikeus käyttää asiassaan omaa kieltään, joko suomea tai ruotsia, sekä saada asiakirjat tällä kielellä. 33 § Valvontaviranomainen Tämän lain mukaisen luottotietotoiminnan harjoittamisen ja muun luottotietojen käsittelyn valvonta kuuluu tietosuojavaltuutetulle. 34 § Tietosuojavaltuutetun tiedonsaanti- ja tarkastusoikeus Tietosuojavaltuutetulla on tämän lain valvontaa varten salassapitosäännösten estämättä oikeus saada nähtäväkseen ja kopioituna luottotietotoiminnan harjoittamisen ja muun luottotietojen käsittelyn valvonnan kannalta välttämättömät tiedot. Tietosuojavaltuutetun tiedonsaanti- ja tarkastusoikeudesta henkilötietojen käsittelyn valvonnassa säädetään tietosuoja-asetuksessa ja tietosuojalaissa. 35 § Määräysten antaminen Tietosuojavaltuutetulla on oikeus: 1) antaa luottotietotoiminnan harjoittajalle määräys 30 §:ssä tarkoitetun yrityksen tiedonsaantioikeuden toteuttamisesta tai 31 §:n 1 momentissa tarkoitetun virheellisen tiedon oikaisemisesta; Tietosuojavaltuutetun toimivaltuuksista henkilötietojen käsittelyn valvonnassa säädetään tietosuoja-asetuksessa ja tietosuojalaissa. 37 § Tietojen tallettaminen eräissä tapauksissa Mitä 4–6 luvussa säädetään, ei estä luottotietotoiminnan harjoittajaa tallettamasta velkojaa koskevia tietoja omaa käyttöään varten ylläpitämäänsä rekisteriin 13 §:n 3 momentissa, 24 §:n 4 momentissa sekä 30–31 §:ssä säädettyjen velvoitteiden toteuttamiseksi eikä tietojen tallettamista 22 §:ssä tarkoitettujen merkintöjen tekemistä taikka luottokelpoisuutta osoittavan arviointitiedon muodostamista tai yritystutkimuksen laatimista varten. 39 § Salassapitovelvollisuus Se, joka käsittelee tässä laissa tarkoitettuja luottotietoja, ei saa tämän lain vastaisesti ilmaista, mitä hän tehtäviään hoitaessaan on saanut tietää luonnollista henkilöä tai yritystä koskevista asioista tai luottotietojen käsittelyn suojauksesta. 40 § Vahingonkorvausvastuu Luottotietotoiminnan harjoittaja on velvollinen korvaamaan tämän lain vastaisesti talletetun tai muodostetun yritysluottotiedon käytöstä luonnolliselle henkilölle tai yritykselle aiheutuvan taloudellisen vahingon. Mitä edellä säädetään, sovelletaan myös yrityksen vastuuhenkilöä koskevaan tietoon, jonka luottotietotoiminnan harjoittaja on tallettanut 22 §:n nojalla. Henkilötietojen käsittelyä koskevien säännösten rikkomisesta aiheutuvan vahingon osalta oikeudesta vahingonkorvaukseen säädetään tietosuoja-asetuksessa. 42 § Viittaus rikoslakiin Rangaistus viestintäsalaisuuden loukkauksesta ja törkeästä viestintäsalaisuuden loukkauksesta säädetään rikoslain (39/1889) 38 luvun 3 ja 4 §:ssä, rangaistus tietomurrosta ja törkeästä tietomurrosta 8 ja 8 a §:ssä sekä rangaistus tietosuojarikoksesta 9 §:ssä. Rangaistus tämän lain 39 §:ssä säädetyn salassapitovelvollisuuden rikkomisesta tuomitaan rikoslain 38 luvun 1 tai 2 §:n mukaan, jollei teko ole rangaistava mainitun lain 40 luvun 5 §:n mukaan tai siitä muualla laissa säädetä ankarampaa rangaistusta. 43 § Luottotietorikkomus Joka tahallaan tai törkeästä huolimattomuudesta tämän lain vastaisesti 1) laiminlyö noudattaa, mitä luottotietorekisteriin talletettavien yritysluottotietojen käsittelystä, yrityksen luottokelpoisuusluokan tai muun luottokelpoisuutta osoittavan arviointitiedon muodostamisessa käytettävistä tiedoista, yrityksen informoimisesta, yritysluottotiedon oikaisusta tai ilmoituksen tekemisestä tietosuojavaltuutetulle säädetään, tai 2) antaa tietosuojavaltuutetulle yritysluottotietojen käsittelyä koskevassa asiassa väärän tai harhaanjohtavan tiedon, ja siten vaarantaa yritysten oikeutta tulla arvioiduiksi oikeiden ja asianmukaisten tietojen perusteella taikka vaarantaa luottotietojen saatavuutta, on tuomittava, jollei teosta muualla laissa säädetä ankarampaa rangaistusta, luottotietorikkomuksesta sakkoon. Tämä laki tulee voimaan 1 päivänä kesäkuuta 2022. Sen 18 ja 28 § tulevat kuitenkin voimaan vasta 1 päivänä joulukuuta 2022. Tämän lain 18 ja 28 §:n voimaan tullessa luottotietotoiminnan harjoittajan on: 1) poistettava luottotietolain (527/2007) 13 §:n 1 momentin 3–5 kohdassa ja 24 §:n 1 momentin 2, 3, 5 ja 7 kohdassa tarkoitetut merkinnät, joissa on suorituksen maksamistieto; 2) palautettava mainitun lain 18 §:n 3 momentin tai 28 §:n 2 momentin nojalla pidennetty säilytysaika ennalleen. HE 109/2021 LaVM 3/2022 EV 34/2022 Helsingissä 13.5.2022 Tasavallan Presidentti Sauli Niinistö Oikeusministeri Anna-Maja Henriksson