Rahoitustietojen tietosuoja avoimessa pankkitoiminnassa

Miksi rahoitustiedot ovat erityisen arkaluonteisia

Pankkitilin tapahtumahistoria on yksi kattavimmista kuvista ihmisen elämästä. Siitä voi päätellä tulotason, asuinpaikan, kulutustottumukset, harrastukset, terveyteen liittyviä ostoksia, jäsenyyksiä ja jopa uskonnollisen tai poliittisen vakaumuksen. Vaikka yleinen tietosuoja-asetus (GDPR) ei luokittele rahoitustietoja sellaisenaan erityisiin henkilötietoryhmiin, tapahtumatiedoista voi paljastua juuri tällaisia tietoja.

Avoin pankkitoiminta lisää rahoitustietojen liikkuvuutta. Kun asiakas antaa tilitietopalvelulle pääsyn tiliinsä, tiedot siirtyvät pankin suljetusta ympäristöstä uudelle toimijalle, joka voi edelleen hyödyntää alihankkijoita. Jokainen siirto on mahdollinen vuotokohta ja jokainen uusi käyttötarkoitus mahdollinen tietosuojariski.

Oikeudellinen kehys

Rahoitustietojen käsittelyä ohjaa useampi rinnakkainen säädös:

GDPR (EU) 2016/679 määrittää henkilötietojen käsittelyn yleiset periaatteet, oikeusperusteet ja rekisteröidyn oikeudet.
Tietosuojalaki (1050/2018) täydentää GDPR:ää Suomessa ja määrittää kansallisia erityissääntöjä.
PSD2 asettaa maksupalveluille omia tietosuojavelvoitteita, kuten vaatimuksen asiakkaan nimenomaisesta suostumuksesta henkilötietojen käyttöön maksupalvelun tarjoamiseksi.
Rahanpesulaki ja kirjanpitolaki velvoittavat säilyttämään tiettyjä tietoja määräajan, mikä vaikuttaa siihen, milloin tietoja voi poistaa.
DORA (EU) 2022/2554 asettaa rahoitusalalle velvoitteita ICT-riskienhallinnasta, mikä tukee myös tietojen suojaamista.

Euroopan tietosuojaneuvosto (EDPB) on julkaissut PSD2:n ja GDPR:n välisestä suhteesta ohjeet 06/2020, jotka ovat keskeinen tulkinta-apu alan toimijoille.

Kaksi eri suostumusta

Yksi yleisimmistä väärinkäsityksistä on, että PSD2:n "nimenomainen suostumus" ja GDPR:n suostumus olisivat sama asia. EDPB:n ohjeiden mukaan ne ovat eri käsitteitä.

Ominaisuus	PSD2:n nimenomainen suostumus	GDPR:n suostumus oikeusperusteena
Luonne	Sopimusoikeudellinen lisävaatimus: asiakas hyväksyy tietojensa käytön maksupalvelussa.	Yksi kuudesta henkilötietojen käsittelyn oikeusperusteesta (6 artiklan 1 kohdan a alakohta).
Tyypillinen oikeusperuste	Käsittely perustuu usein sopimuksen täytäntöönpanoon (6 artiklan 1 kohdan b alakohta).	Suostumus itse on oikeusperuste.
Peruttavuus	Liittyy palvelusopimukseen ja sen ehtoihin.	Voidaan perua milloin tahansa yhtä helposti kuin se annettiin.

Käytännössä tilitietopalvelun tarjoajan on siis tunnistettava jokaiselle käsittelytoimelle oikea GDPR:n mukainen oikeusperuste ja lisäksi varmistettava, että asiakas on antanut PSD2:n edellyttämän nimenomaisen suostumuksen. Jos tietoja halutaan käyttää muuhun kuin itse palvelun tarjoamiseen, esimerkiksi markkinointiin, tarvitaan erillinen arvio ja usein erillinen suostumus.

Hiljaisen osapuolen tiedot

Tilitapahtumat sisältävät väistämättä myös muiden ihmisten tietoja. Kun asiakas on maksanut vuokraa, siirtänyt rahaa ystävälleen tai saanut palkkaa, tapahtumissa näkyy näiden osapuolten nimiä ja tilinumeroita. EDPB kutsuu heitä hiljaisiksi osapuoliksi (silent party): he eivät ole palvelun asiakkaita eivätkä ole antaneet suostumustaan.

EDPB:n ohjeiden mukaan hiljaisen osapuolen tietoja voidaan käsitellä, kun se on tarpeen palvelun tarjoamiseksi asiakkaalle ja käsittely perustuu oikeutettuun etuun. Tietoja ei kuitenkaan saa käyttää muihin tarkoituksiin, ja teknisillä keinoilla on rajoitettava niiden käsittelyä mahdollisimman vähäiseksi.

Tietojen minimointi käytännössä

GDPR:n 5 artiklan tietojen minimoinnin periaate edellyttää, että käsitellään vain käyttötarkoituksen kannalta tarpeellisia tietoja. Avoimen pankkitoiminnan palveluissa tämä voi tarkoittaa esimerkiksi seuraavaa:

Maksutoimeksiannossa palveluntarjoaja tarvitsee tiedon maksun onnistumisesta, ei maksajan koko tapahtumahistoriaa.
Tilin omistajuuden varmistamisessa riittää usein tieto tilinomistajan nimestä ja IBAN-tunnuksesta.
Henkilöllisyyden todentamisessa pankkitunnistautumisen yhteydessä tulee pyytää vain ne tunnistetiedot, joita käyttötarkoitus todella edellyttää.
Analytiikassa tiedot tulisi pseudonymisoida tai aggregoida mahdollisimman aikaisessa vaiheessa.

Erityisen tärkeää minimointi on ratkaisuissa, joissa tunnistautuminen ja maksu yhdistetään samaan käyttäjäpolkuun. Kun yhden tapahtuman yhteydessä saadaan sekä henkilöllisyys- että tilitietoja, on huolehdittava, että kumpaakaan ei käytetä tai säilytetä laajemmin kuin tarkoitus edellyttää.

Säilytysajat ja niiden ristiriidat

Tietosuoja edellyttää tietojen poistamista, kun niitä ei enää tarvita. Rahoitusalalla kuitenkin useat lait velvoittavat säilyttämään tietoja. Suomessa esimerkiksi kirjanpitolaki edellyttää tositteiden säilyttämistä vähintään kuusi vuotta sen vuoden lopusta, jona tilikausi on päättynyt, ja rahanpesulaki asiakkaan tuntemistietojen säilyttämistä viisi vuotta asiakassuhteen päättymisestä.

Ristiriita ratkaistaan rajaamalla säilytettävät tiedot: lakisääteisesti säilytettävät tiedot pidetään erillään, niiden käyttöoikeuksia rajoitetaan ja niitä käytetään vain siihen tarkoitukseen, jota varten säilytys on säädetty. Muut tiedot poistetaan, kun niiden käyttötarkoitus on täyttynyt. Säilytysajat tulee dokumentoida tietosuojaselosteeseen ja seloste käsittelytoimista -dokumentaatioon.

Tekniset suojakeinot

GDPR:n 32 artikla edellyttää riskiin nähden asianmukaisia teknisiä ja organisatorisia toimenpiteitä. Rahoitustietojen kohdalla vakiintuneita keinoja ovat:

Salaus siirron aikana ja levossa. TLS 1.2 tai uudempi siirrossa, vahva salaus tallennuksessa ja avainten hallinta erillään tiedoista.
Tokenisointi ja pseudonymisointi. Tilinumerot ja henkilötunnukset korvataan tunnisteilla, joilla ei ole merkitystä järjestelmän ulkopuolella.
Pääsynhallinta. Vähimmän oikeuden periaate, monivaiheinen tunnistautuminen ylläpitäjille ja kattava pääsyn lokitus.
Lokien suojaus. Lokeihin ei tallenneta tilitietoja tai tunnisteita selväkielisinä.
Testiympäristöt. Tuotantodataa ei käytetä testauksessa ilman anonymisointia.
Vaikutustenarviointi. Laajamittaisesta rahoitustietojen käsittelystä laaditaan GDPR:n 35 artiklan mukainen vaikutustenarviointi.

DORA ja kolmansien osapuolten riskit

Digitaalista häiriönsietokykyä koskeva DORA-asetus on ollut sovellettavana 17.1.2025 alkaen. Se edellyttää rahoitusalan toimijoilta kattavaa ICT-riskienhallintaa, merkittävien poikkeamien raportointia, häiriönsietokyvyn testausta ja ICT-palveluntarjoajien riskien hallintaa. Vaikka DORA ei ole tietosuojasäädös, sen vaatimukset tukevat suoraan rahoitustietojen suojaamista.

Avoimessa pankkitoiminnassa ketju on usein pitkä: pankki, aggregaattori, maksupalvelu, kauppias ja näiden pilvipalvelutoimittajat. Jokaisessa liitoksessa on arvioitava, kuka on rekisterinpitäjä ja kuka henkilötietojen käsittelijä, ja laadittava GDPR:n 28 artiklan mukaiset sopimukset. Jos tietoja siirretään ETA-alueen ulkopuolelle, siirrolle tarvitaan peruste, kuten komission vakiosopimuslausekkeet.

Tulevaa sääntelyä

Komissio esitti kesäkuussa 2023 myös ehdotuksen rahoitusalan tietojen saatavuutta koskevaksi kehykseksi (FIDA), joka laajentaisi tietojen jakamisen maksutilien ulkopuolelle. Ehdotuksen lopullinen sisältö ja aikataulu kannattaa tarkistaa ajantasaisista lähteistä.

Tarkistuslista

Seuraava lista auttaa arvioimaan, onko rahoitustietojen käsittely kunnossa. Se ei korvaa oikeudellista arviota.

Jokaiselle käsittelytoimelle on tunnistettu GDPR:n mukainen oikeusperuste.
PSD2:n edellyttämä nimenomainen suostumus kerätään ja dokumentoidaan erikseen.
Hiljaisen osapuolen tietoja ei käytetä muihin tarkoituksiin.
Käsitellään vain käyttötarkoituksen kannalta välttämättömiä tietoja.
Säilytysajat on määritelty ja lakisääteiset säilytykset eriytetty.
Tiedot on salattu siirron aikana ja levossa, ja avaimia hallitaan erikseen.
Käsittelijäsopimukset ja kansainvälisten siirtojen perusteet ovat kunnossa.
Vaikutustenarviointi on tehty ja päivitetään muutosten yhteydessä.
Rekisteröidyn oikeuksien toteuttamiselle on toimiva prosessi.

Lähteet ja lisälukemista

Vastuuvapaus

Opas on laadittu huolellisesti julkisten lähteiden pohjalta, mutta sääntely ja palveluiden ominaisuudet muuttuvat. Tarkista ajantasaiset tiedot aina virallisista lähteistä ja palveluntarjoajien omasta dokumentaatiosta. Korjausehdotukset: support@brevixoo.com.