Tapahtumatiedot
Asiakkaan luotollisesta pankkitilistä on lähetetty pankin virheen vuoksi tilitietoja asiakkaan ex-aviopuolisolle vuosina 2009–2024 ja ex-avopuolisolle vuosina 2018–2024. Kirjeissä on mainittu asiakkaan nimi, hänen tilinsä pankissa ja sen hetkinen tilin saldo. Lisäksi keväällä 2024 asiakkaan lainaerä oli myöhässä ja siitä ilmoitettiin virheellisesti ex-avopuolisolle.
Virhe on huomattu pankissa syksyllä 2024, jolloin asiasta on ilmoitettu asiakkaalle ja dokumentoitu tietosuoja-asetuksen vaatimalla tavalla.
Asiakkaan valitus
Asiakkaalla on ollut luotollinen tili pankissa 1990-luvulta lähtien. Asiakkaan hakeuduttua velkajärjestelyyn selvisi, että tilistä oli lähtenyt säännöllisesti saldotietoja sekä hänen ex-aviopuolisolleen (eronneet 2009) että ex-avopuolisolleen (avoliitossa 2010–2018). Kirjeposti on lähtenyt kaksi kertaa vuodessa vuosien ajan. He olivat asiaa mielessään hämmästelleet, mutta he olivat tuhonneet kirjeet polttamalla. Kumpikaan ex-puolisoista ei ole ollut takaamassa asiakkaan lainoja eikä asiakkaan henkilökohtaiset tilitiedot kuulu heille millään tavalla.
Asiaa selvitettiin ensimmäisen kerran vuonna 2024, jolloin selvisi, että asiakkaan tili oli virheellisesti merkitty pantatuksi ex-avopuolison lainaan.
Asiakkaaseen kohdistui turhaa syyttelyä ja epäilyä, että hän ei pystyisi taloaan pitämään itsellään ja pankki omalla toiminnallaan edesauttoi henkistä väkivaltaa avioeron jälkeen. Asiakkaalle aiheutui henkistä kärsimystä pankin toiminnan vuoksi. Asiakas menetti luottamuksensa pankin toimintaan. Taloudellinen vahinko olisi ollut todella suuri, jos asiakkaan ex-avopuoliso olisi tullut maksukyvyttömäksi oman lainansa suhteen ja virheellinen pankin tieto olisi johtanut myös asiakkaan kodin menetykseen.
Asiakas vaatii pankilta korvausta 1.000 euroa hänelle aiheutuneesta vahingosta.
Pankin vastine
Pankki kiistää asiakkaan 1.000 euron korvausvaatimuksen määrältään ja perusteeltaan. Asiakkaan luotollisen tilin saldotieto on välittynyt virheellisesti sivullisille. Tilitietojen lähteminen tapahtui purkamattoman takauksen/panttauksen johdosta pankissa tapahtuneen inhimillisen virheen seurauksena. Pankki on pahoitellut tapahtunutta, korjannut tilanteen sekä käsitellyt asian tietosuoja-asetuksen edellyttämällä tavalla.
Yleisen tietosuoja-asetuksen 82 artiklan mukaan oikeus korvaukseen edellyttää, että rekisteröidylle on aiheutunut asetuksen rikkomisen seurauksena aineellista tai aineetonta vahinkoa. Pelkkä tietosuoja-asetuksen rikkominen ei sellaisenaan riitä korvausvastuun syntymiseen, vaan lisäksi edellytetään vahingon olemassaoloa sekä syy-yhteyttä rikkomisen ja väitetyn vahingon välillä. Korvausjärjestelmällä on hyvittävä, ei rangaistusluonteinen, tarkoitus.
Asiakkaan esittämä vaatimus perustuu yleisluonteiseen viittaukseen henkiseen kärsimykseen ja luottamuksen rikkomiseen, mutta asiassa ei ole pankin näkemyksen mukaan yksilöity, eikä näytetty sellaista vahinkoa tai sen laajuutta, joka olisi riittävässä syy-yhteydessä tapahtuneeseen. Yleisten vahingonkorvausoikeudellisten periaatteiden mukaisesti korvausta vaativalla on näyttötaakka vahingon syntymisestä, sen määrästä sekä syy-yhteydestä vahingon ja korvausvastuun perustavan menettelyn välillä.
Edellä esitetyin perustein pankki katsoo, ettei asiassa ole osoitettu sellaista vahinkoa, joka olisi korvattava pankin vastuulla.
Selvitykset
Asiassa on toimitettu osapuolten välinen kirjelmöinti.
Ratkaisusuositus
Kysymyksenasettelu
Asiakkaan ja pankin välisen riitaisuuden ratkaisemiseksi Pankkilautakunnan on arvioitava, onko pankin tietosuojarikkomuksesta aiheutunut asiakkaalle korvattavaa vahinkoa.
Sovellettavat lainkohdat
Luonnollisten henkilöiden suojelusta henkilötietojen käsittelyssä sekä näiden tietojen vapaasta liikkuvuudesta ja direktiivin 95/46/EY kumoamisesta 27.4.2016 annetun Euroopan parlamentin ja neuvoston asetuksen (EU) 2016/679 (yleinen tietosuoja-asetus) 82 artiklan (Vastuu ja oikeus korvauksen saamiseen) 1 kohdan mukaan:
”Jos henkilölle aiheutuu tämän asetuksen rikkomisesta aineellista tai aineetonta vahinkoa, hänellä on oikeus saada rekisterinpitäjältä tai henkilötietojen käsittelijältä korvaus aiheutuneesta vahingosta.”
Oikeudenkäymiskaaren (4/1734, muokattu lailla 732/2015) 17 luvun 2 §:n 3 momentin mukaan:
”Jos yksityisoikeudellisen saatavan määrästä ei ole saatavissa uskottavaa näyttöä taikka se olisi saatavissa vain vaikeuksin tai asian laatuun nähden kohtuuttomilla kustannuksilla tai kohtuuttomalla vaivalla, tuomioistuin arvioi määrän.”
Asian arviointi
Yleisen tietosuoja-asetuksen mukaan jos henkilölle aiheutuu asetuksen rikkomisesta aineellista tai aineetonta vahinkoa, hänellä on oikeus saada rekisterinpitäjältä tai henkilötietojen käsittelijältä korvaus aiheutuneesta vahingosta.
Euroopan unionin tuomioistuin on ottanut kantaa vahingon korvattavuuteen tietosuojarikkomuksista (ks. erityisesti EUT:n tuomiot asioissa C-590/22, annettu 20.6.2024, ja C-526/24, annettu 19.3.2026). Tuomioistuin on katsonut, että pelkkä yleisen tietosuoja-asetuksen rikkominen ei riitä korvauksen saamiseksi, vaan rekisteröidyn on myös osoitettava tästä rikkomisesta aiheutunut vahinko. Vahingon tulee myös olla syy-yhteydessä rikkomukseen. Tuomioistuin on lisäksi katsonut, että henkilön pelko siitä, että hänen henkilötietonsa on tämän asetuksen rikkomisen seurauksena luovutettu kolmansille, ilman että voidaan osoittaa, että näin on todella tapahtunut, riittää vahingonkorvausoikeuden syntymiseen, kunhan tämä pelko ja sen kielteiset seuraukset on asianmukaisesti näytetty toteen. Silloin, kun henkilö, joka vaatii korvausta yleisen tietosuoja-asetuksen 82 artiklan perusteella, vetoaa pelkoonsa siitä, että hänen henkilötietojaan käytetään tulevaisuudessa väärin kyseisen asetuksen rikkomisen tähden, asiaa käsittelevän kansallisen tuomioistuimen on selvitettävä, voidaanko tämä pelko asiaan liittyvissä erityisissä olosuhteissa ja rekisteröidyn kannalta katsoa perustelluksi.
Tuomioistuin on lisäksi katsonut, että vahingon suuruudelle ei ole asetettu alarajaa. Toisaalta korvauksen määrän tulee vastata aiheutunutta vahinkoa eikä sillä tule olla varoittavaa tai rankaisevaa tehtävää.
Asiassa on riidatonta, että pankki on yleisen tietosuoja-asetuksen vastaisesti lähettänyt kirjeitse asiakkaan ex-puolisoille asiakkaan pankkisalaisuuteen kuuluvia tietoja vuosien ajan. Riitaisaa sen sijaan on, onko tästä rikkomuksesta aiheutunut asiakkaalle sellaista vahinkoa, joka pankin tulisi korvata.
Pankki oli lähettänyt asiakkaan ex-puolisoille vuosien ajan kirjeitä, joissa oli mainittu asiakkaan nimi, hänen tilinsä pankissa ja sen hetkinen tilin saldo. Lisäksi keväällä 2024 asiakkaan lainaerä oli myöhässä ja siitä ilmoitettiin virheellisesti ex-avopuolisolle. Asiakkaan mukaan ex-puolisot ovat tuhonneet kirjeet polttamalla.
Asiakas on vaatinut pankkia korvaamaan 1.000 euroa pankin tietosuojarikkomuksesta hänelle aiheutuneesta henkisestä kärsimyksestä ja pankkia kohtaan tunnetun luottamuksen menettämisestä. Lisäksi asiakkaan mukaan häneen kohdistui turhaa syyttelyä ja epäilyä, että hän ei pystyisi taloaan pitämään itsellänsä ja pankki omalla toiminnallaan edesauttoi henkistä väkivaltaa avioeron jälkeen.
Pankki katsoo, että asiakkaan esittämä vaatimus perustuu yleisluonteiseen viittaukseen henkiseen kärsimykseen ja luottamuksen rikkomiseen, mutta asiassa ei ole pankin näkemyksen mukaan yksilöity, eikä näytetty sellaista vahinkoa tai sen laajuutta, joka olisi riittävässä syy-yhteydessä tapahtuneeseen.
Asiakas ei ole esittänyt selvitystä hänelle aiheutuneesta aineellisesta vahingosta, kuten esimerkiksi lääkärikuluista tai muista suorista taloudellisista menetyksistä. Korvattavaa vahinkoa yleisen tietosuoja-asetuksen rikkomisesta voi kuitenkin olla myös aineeton vahinko, kuten perusteltu pelko, huoli tai ahdistus henkilötietojen päätymisestä sivullisten tietoon tai niiden mahdollisesta väärinkäytöstä. Tällainen vahinko ei edellytä, että rekisteröidylle olisi aiheutunut välittömiä taloudellisia kuluja, vaikka pelkotilasta voi joissakin tapauksissa seurata myös tällaisia kuluja.
Asiassa ei ole esitetty asiakkaalle aiheutunutta vahinkoa koskevan väitteen tueksi lääkärintodistusta tai muuta ulkopuolista selvitystä. Pankkilautakunta katsoo kuitenkin, että ottaen huomioon tietosuojarikkomuksen pitkä kesto, tietojen taloudellinen luonne sekä se, että tiedot on lähetetty asiakkaan ex-puolisoille, asiakkaalle on uskottavasti aiheutunut yleisen tietosuoja-asetuksen 82 artiklassa tarkoitettua aineetonta vahinkoa. Vahingon on katsottava muodostuneen erityisesti perustellusta huolesta ja epävarmuudesta sen johdosta, että asiakkaan taloudellista asemaa koskevia tietoja sisältäneitä kirjeitä on lähetetty sivullisille, jolloin tiedot ovat voineet tulla heidän tietoonsa.
Asiassa ei sen sijaan ole osoitettu, että asiakkaan kuvaama syyttely, henkinen väkivalta tai pankkia kohtaan tunnetun luottamuksen menettäminen olisivat riittävässä syy-yhteydessä pankin menettelyyn. Myöskään asiassa ei ole ilmennyt, että ex-puolisot olisivat käyttäneet kirjeiden sisältämiä tietoja myöhemmin asiakkaan vahingoksi. Nämä seikat on otettava huomioon korvauksen määrää arvioitaessa.
Korvauksen määrää arvioitaessa Pankkilautakunta ottaa huomioon rikkomuksen pitkän keston, tietojen laadun, tietojen vastaanottajien henkilökohtaisen suhteen asiakkaaseen sekä sen, että asiassa korvattavaksi katsottava vahinko rajoittuu edellä todettuun aineettomaan vahinkoon. Pankkilautakunta arvioi vahingon määräksi oikeudenkäymiskaaren 17 luvun 2 §:n 3 momentista ilmenevää periaatetta soveltaen 300 euroa.
Lopputulos
Pankkilautakunta suosittaa pankkia korvaamaan asiakkaalle 300 euroa.
Pankkilautakunta oli yksimielinen.
PANKKILAUTAKUNTA
Puheenjohtaja Sillanpää
Sihteeri Heino
Jäsenet
Atrila
Ketola
Punakivi
Tervonen