Kirjanpitoaineiston säilyttämisestä ulkoistetussa palvelussa, kun säilyttämistä koskeva sopimus on päättynyt (Kila 2023/2051)
Tilitoimistoalalla on kautta aikojen ollut ongelmana kadonneet asiakkaat. Kirjanpitolaskut jäävät maksamatta ja aineistoja ei haeta pois. Tilitoimisto yleensä irtisanoo toimeksiannon ja aiemmin kirjanpitoaineisto jäi jonnekin paperiarkiston uumeniin. Tänä päivänä materiaali on useimmiten jo sähköistä ja arkistoituna johonkin pilvipalveluun.
Käytännössä kirjanpitoaineisto sisältää aina tietosuoja-asetuksen (EU 2016/679) tarkoittamia henkilötietoja. Näitä voi olla paitsi palkkakirjanpidossa, niin myös esimerkiksi ostoreskontrassa, laskuissa tai käteiskuiteissa. Tietosuoja-asetuksen mukaan tilitoimisto on tietojen käsittelijä ja kirjanpitovelvollinen asiakas rekisterinpitäjä. Tietojen käsittelijänä toimiminen edellyttää sopimusta käsittelijän ja rekisterinpitäjän välillä. Kun tilitoimisto on irtisanonut sopimussuhteen, ei se enää voi olla käsittelijän roolissa. Toisaalta tietosuoja-asetus sallii henkilötietoja sisältävän rekisterin säilyttämisen vain niin kauan, kun käsittely on tarpeen rekisterinpitäjän lakisääteisen velvoitteen noudattamiseksi. Voiko tilitoimisto, joka ei enää ole käsittelijä, poistaa arkistoista tietoja, vai muuttuuko jopa rekisterinpitäjäksi? Syyllistyykö kirjanpitorikokseen?
Kirjanpitolain 2 luvun 9 §:n 2 momentin mukaista kuuden vuoden säilytysaikaa sen vuoden lopusta, jonka aikana tilikausi on päättynyt, on alalla yleisesti noudatettu kadonneiden asiakkaiden kohdalla, mutta nyt tietosuoja-asetus on muuttanut tilannetta. Kun siis kirjanpitolaki edellyttää kirjanpitoaineiston säilyttämistä lain 2 luvun 9 §:n 2 momentin mukaisesti, vaatii tietosuoja-asetus sellaisten henkilötietojen hävittämistä, joiden käsittely ei enää ole tarpeen rekisterinpitäjän lakisääteisen velvoitteen noudattamiseksi. Tähän ristiriitaan Taloushallintoliitto haki ratkaisua toisaalta esittämällä Kilalle asiasta lausuntopyynnön ja toisaalta liittämällä lausuntopyyntöön hankkimansa tietosuoja-asiantuntijan, viestintäoikeuden professori, varatuomari Päivi Korpisaaren laajan lausunnon. Tietosuoja-asiantuntija päätyi lausunnossaan seuraavaan, pohdittuaan sitä ennen myös tilitoimiston mahdollista vastuuta kirjanpitorikoksesta, jos ryhtyy omin päin kirjanpitoaineiston hävittämiseen.
Tietosuoja-asiantuntijan lausunnosta
Yhteenvetona todettakoon, että kirjanpitoaineisto on annettu tilitoimiston haltuun kirjanpidon tekemistä varten. Jos toimeksiantajaa ei tavoiteta eikä toimeksiantaja pyynnöistä huolimatta lataa kirjanpitoaineistoa itselleen palvelimelta, vaikka sitä on useamman kerran ja todistettavasti kehotettu tekemään niin, vaikuttaa mielestäni tällaisessa epäselvässä tilanteessa perustellulta siirtää kirjanpitoaineisto tilitoimiston hallinnoimaan passiivirekisteriin odottamaan toimeksiantajan tavoittamista. Tehdyt yhteydenottoyritykset on syytä dokumentoida mahdollista myöhempää tarvetta varten. TSA 5 artiklan 2. kappaleessa 28 ja 24 artiklan 1. kappaleessa 29 säädetään osoitusvelvollisuudesta.
Säilytettävän aineiston suhteen on noudatettava TSA:n säännöksiä. Huomioon on siis otettava muun muassa TSA 5 artiklassa säädetyt tietosuojaperiaatteet sekä 32 artiklassa käsittelyn turvallisuudesta säädetty. Kyseeseen voi tulla esimerkiksi pääsyn rajoittaminen. Tarve voi tapauskohtaisesti olla myös esimerkiksi lokitietojärjestelmälle; varsinkin silloin, jos kirjanpitoaineistosta ilmenee ns. arkaluonteisia henkilötietoja (esimerkiksi yksityisen lääkäriaseman kirurgiasta lähettämä lasku saattaa sisältää asiakkaan terveystiedon, joka kuuluu TSA 9 artiklassa tarkoitettuihin erityisiin henkilötietoryhmiin).
ENSISIJAISESSA VASTUUSSA KIRJANPITOAINEISTON SÄILYTTÄMISTÄ KOSKEVIEN SÄÄNNÖSTEN NOUDATTAMISESTA ON AINA KIRJANPITOVELVOLLINEN ITSE.
Kilan lausunto-osio kuuluu seuraavasti:
2.4. Kirjanpitolautakunnan kannanotto
2.4.1. Kysymyksenasettelu koskee tilannetta, jossa kirjanpitovelvollinen on kokonaan ulkoistanut kirjanpitonsa laatimisen ja aineistonsa säilyttämisen palveluntarjoajalle ja jossa tätä ulkoistusta koskeva sopimus on lakannut olemasta voimassa, eikä palveluntarjoaja yrityksistään huolimatta ole saanut luovutettua kirjanpitoaineistoa kyseisen kirjanpitovelvollisen edustajalle. Kysymys kuuluu, millainen oikeus taikka mahdollinen velvoite palveluntarjoajalla on tällaisessa tilanteessa aiemman asiakkaansa kirjanpitoaineiston säilyttämiseen.
2.4.2. Ensisijaisessa vastuussa kirjanpitoaineiston säilyttämistä koskevien säännösten noudattamisesta on aina kirjanpitovelvollinen itse – tätä ensisijaisvastuuta ei voi siirtää. Kuitenkin kuten edellä kohdassa 2.2. olevista seuraamussäännöksistä ilmenee, niiden soveltumisesta ei ole rajattu ulos toimijoita, jotka toimeksiannosta tekevät kirjanpitoa taikka säilyttävät kirjanpitoaineistoa.
2.4.3. Kirjanpitolautakunnalla ei ole toimivaltuuksia ottaa kantaa kirjanpitoaineiston säilyttämistä koskevien laiminlyöntien mahdollisiin rikosoikeudellisiin seuraamuksiin eikä myöskään tietosuojasäännöstön vaatimuksiin. Ottaen huomioon kirjanpitoaineistolle säädetyn säilyttämisvelvollisuuden tavoite – mahdollisuus toiminnan lainmukaisuuden ja tarkoituksenmukaisuuden jälkikäteisarvioinnille – kirjanpitolautakunta toteaa näkemyksenään, että hyvän kirjanpitotavan vastaista ei ole säilyttää kohdassa 2.4.1. tarkoitetun kaltainen kirjanpitoaineisto palveluntarjoajan huomassa lain edellyttämän määräajan – asianmukaisesti ja huolellisesti siten, että aineistoon on pääsy ainoastaan siihen oikeutetuilla.
Yllä oleva lausuntopyyntö ja Kilan siihen antama lausunto käsittelee lainsäädännöllistä tilannetta sen yrityksen näkökulmasta, jolla kirjanpitovelvollisen yrityksen henkilötietoja sisältävä aineisto on säilytyksessään, olkoon aineisto mapeissa hyllyissä tai pilvipalvelun kovalevyllä. Jos tilitoimistolla on sopimus pilvipalvelua tarjoavan ohjelmistoyrityksen kanssa asiakkaan kirjanpitoaineiston säilytyksestä, tilitoimisto voi irtisanoa tämän sopimuksen sopimusehtojen mukaisesti. Tällöin ohjelmistoyritys joutuu ottamaan kantaa aineiston säilytykseen. Tilitoimistolla ei ole velvollisuutta maksaa ohjelmistoyritykselle kirjanpitoaineiston säilytyksestä konkurssiin menneen tai muutoin maksukyvyttömän asiakkaansa puolesta.
Kilan lausunnon liitteenä on kokonaisuudessaan Päivi Korpisaaren asiantuntijalausunto 11.10.2023. Suosittelen lukemaan sekä Kilan lausunnon, että Päivi Korpisaaren asiantuntijalausunnon kokonaisuudessaan.
Lisätietoa aiheesta löydät myös osoitteesta
www.taloushallintoliitto.fi > Kadonneen asiakkaan kirjanpitoaineisto
