Perustelut
Ehdotettu sääntely
Hallituksen esityksessä ehdotetaan säädettäväksi
laki henkilötietojen käsittelystä Tullissa.
Ehdotettu laki on oleellisilta osiltaan yhdenmukainen sekä henkilötietojen
käsittelystä poliisitoimessa annetun lain että henkilötietojen
käsittelystä rajavartiolaitoksessa annetun lain
kanssa, jotka on molemmat säädetty perustuslakivaliokunnan
myötävaikutuksella (ks. PeVL 51/2002 vp ja PeVL
19/2005 vp). Lisäksi henkilötietojen käsittelystä poliisitoimessa
annetun lain muutokset on pääosin säädetty
perustuslakivaliokunnan myötävaikutuksella (ks. PeVL
18/2012 vp ja PeVL 43/2014
vp). Nyt ehdotetussa sääntelyssä on
pyritty Tullin toiminnan erityispiirteet huomioiden ottamaan
perustuslakivaliokunnan aiempi lausuntokäytäntö huomioon.
Ehdotettu laki sisältää 8 lukua,
joista 1 luvussa on säännökset lain soveltamisalasta
ja määritelmistä, 2 luvussa erilliset
säännökset kustakin Tullin tietojärjestelmästä ja
muista henkilörekistereistä ja 5 luvussa säännökset
tietojen käyttämisestä ja luovuttamisesta.
Ehdotuksen mukaan Tullin tietojärjestelmiä ja
rekistereitä ovat rikostorjunnan tietojärjestelmä,
tiedustelurekisteri, tullivalvonnan tietojärjestelmä,
rekisterikilpien ja konttien kuvaus- ja tunnistusjärjestelmä ja "Tullin
muut henkilörekisterit". Ehdotettu 13 § sisältää 20-kohtaisen luettelon
Tullin oikeudesta saada tietoja eräistä muiden
viranomaisten rekistereistä ja tietojärjestelmistä.
Arviointi
Henkilörekisterit.
Ehdotettu henkilörekisterisääntely
on valtiosääntöoikeudellisesti merkityksellistä ennen
muuta perustuslain 10 §:ssä turvatun
henkilötietojen suojan kannalta. Henkilötietojen
suojasta säädetään perustuslain
10 §:n 1 momentin mukaan tarkemmin lailla. Perustuslakivaliokunnan
käytännön mukaan lainsäätäjän liikkuma-alaa
rajoittaa tämän säännöksen
lisäksi myös se, että henkilötietojen
suoja osittain sisältyy samassa momentissa turvatun yksityiselämän
suojan piiriin. Perustuslakivaliokunta on vakiintuneesti katsonut,
että lainsäätäjän tulee turvata
henkilötietojen suoja tavalla, jota voidaan pitää hyväksyttävänä perusoikeusjärjestelmän
kokonaisuudessa (ks. esim. PeVL 18/2012 vp,
s. 2).
Perustuslakivaliokunnan käytännössä ehdotetun
kaltaista rekisterisääntelyä arvioitaessa
on kiinnitetty huomiota erityisesti rekisteröinnin tavoitteisiin,
rekisteröitävien henkilötietojen sisältöön,
niiden sallittuihin käyttötarkoituksiin, tietojen
luovutettavuuteen, tietojen säilytysaikaan ja
rekisteröidyn oikeusturvaan. Valiokunta on vakiintuneesti
katsonut, että näitä seikkoja koskevan
sääntelyn lain tasolla tulee olla kattavaa ja
yksityiskohtaista (esim. PeVL 19/2012 vp,
s. 2/I, PeVL 35/2004 vp,
s. 2/II ja PeVL 51/2002 vp,
s. 2/I). Lailla säätämisen vaatimus
ulottuu myös mahdollisuuteen luovuttaa henkilötietoja
teknisen käyttöyhteyden avulla (PeVL 12/2002
vp, s. 5).
Ehdotetun 1. lakiehdotuksen 3 §:n 3 momentin 2 kohdan
mukaan Tulli saa oikeuden tallettaa havaintotietoja sekä 11 §:n
mukaan salaisilla tiedonhankintakeinoilla saatuja ylimääräisiä tietoja.
Nämä tiedot ovat yksityiselämän
ja henkilötietojen suojan kannalta merkittäviä.
Havaintotietojen osalta ehdotettu sääntely vastaa
henkilötietojen käsittelystä poliisitoimessa
annetun lain 2 §:n 3 momentin 11 kohdan sääntelyä ja
ehdotettu salaisilla tiedonhankintakeinoilla saatuja ylimääräisiä tietoja
koskeva sääntely pääpiirteissään
kyseisen lain 11 §:n sääntelyä,
mitkä on säädetty perustuslakivaliokunnan
myötävaikutuksella (PeVL 18/2012
vp). Havaintotietojen rekisteröinti lakiehdotuksessa
esitetyllä tavalla toteuttaa riittävän
täsmällisyyden vaatimukset edellyttäen,
että Tulli huolehtii siitä, että sille
ilmoitettujen tietojen rekisteröinnin ehtona on tietojen
luotettavuuden varmistaminen.
Ehdotetun 1. lakiehdotuksen 4 §:n 2 momentin mukaan
tiedustelurekisteriin saa tallettaa muun muassa henkilön
oman turvallisuuden tai viranomaisten työturvallisuuden
kannalta välttämättömät
tiedot. Valiokunta huomauttaa, että säännöksessä on
ainakin osittain kysymys niin sanotuista arkaluonteisista tiedoista.
Tämän vuoksi on erityisen tärkeää,
että sallitut tietosisällöt ilmenevät
säännöksestä mahdollisimman tyhjentävästi
(samoin myös PeVL 18/2012 vp, s. 3
ja PeVL 51/2002 vp, s. 2).
Ehdotetun 1. lakiehdotuksen 7 §:n 2 momentin 1 kohdan
mukaan yhden tai useamman Tullin toimintayksikön käyttöön
voidaan perustaa muu kuin 3—6 §:ssä tarkoitettu
tietojärjestelmä tai henkilörekisteri.
Lakiehdotuksesta ja perusteluista puuttuu kokonaan 1 kohdassa tarkoitetun
henkilörekisterin käyttötarkoitus ja
tietosisältö. Muutoinkaan ehdotettu 7 §:n
2 momentin 1 kohta ei epämääräisyydessään
täytä niitä edellytyksiä, joita
perustuslakivaliokunta on rekisterisääntelyltä vakiintuneesti
edellyttänyt. Valiokunnan mielestä ehdotettu 1
kohta on siksi poistettava tai sitä on täsmennettävä.
Muilta osin rekisteröitävistä henkilötiedoista on
ehdotettu säädettäväksi yksityiskohtaisesti
ja tyhjentävin luetteloin. Tästä on seurannut,
että luetteloista on muodostunut varsin pitkiä ja kasuistisia.
Sääntely ei kuitenkaan muodostu valtiosääntöoikeudellisesti
ongelmalliseksi.
Oikeus saada ja luovuttaa henkilötietoja.
Viranomaisten tietojen saamista ja luovuttamista koskevaa sääntelyä perustuslain
10 §:n 1 momentissa säädetyn
yksityiselämän ja henkilötietojen suojan
kannalta arvioidessaan perustuslakivaliokunta on kiinnittänyt
huomiota muun muassa siihen, mihin ja ketä koskeviin tietoihin tiedonsaantioikeus
ulottuu ja miten tiedonsaantioikeus sidotaan tietojen välttämättömyyteen. Viranomaisen
tietojensaantioikeus ja tietojenluovuttamismahdollisuus ovat valiokunnan
mukaan voineet liittyä jonkin tarkoituksen kannalta "tarpeellisiin
tietoihin", jos tarkoitetut tietosisällöt
on pyritty luettelemaan laissa tyhjentävästi. Jos
taas tietosisältöjä ei ole samalla tavoin
luetteloitu, sääntelyyn on pitänyt sisällyttää vaatimus "tietojen
välttämättömyydestä" jonkin
tarkoituksen kannalta. Valiokunta ei toisaalta ole pitänyt
hyvin väljiä ja yksilöimättömiä tietojensaantioikeuksia
perustuslain kannalta mahdollisina edes silloin, kun ne on sidottu
välttämättömyyskriteeriin (ks.
esim. PeVL 62/2010 vp, s. 4/I
ja PeVL 59/2010 vp,
s. 4/I).
Ensimmäisessä lakiehdotuksessa on yksityiskohtaiset
säännökset sekä Tullin oikeudesta
saada tietoja eräistä rekistereistä ja
tietojärjestelmistä (13 ja 14 §) että tietojen
luovuttamisesta muille viranomaisille (17 §). Samoja teemoja koskevia
säännöksiä on tämän
lisäksi myös säännöksissä viitatuissa
laeissa. Tämä merkitsee kaksinkertaista sääntelyä,
mikä ei kuitenkaan sellaisenaan ole valiokunnan mielestä valtiosääntöoikeudellisesti
ongelmallista. Se kuitenkin johtaa raskaaseen sääntelyrakenteeseen
ja on omiaan synnyttämään tulkintaongelmia.
Hallituksen esityksen 1. lakiehdotuksen 13 § koskee
tullin oikeutta saada tietoja eräistä rekistereistä ja
tietojärjestelmistä. Ehdotetun 1 momentin perusteella
tullilla on salassapitosäännösten estämättä oikeus
saada ja muutoin käsitellä tehtäviensä suorittamista
tai henkilörekisteriensä ylläpitämistä varten
ja myös teknisen käyttöyhteyden avulla
tai tietojoukkona tarpeellisia tietoja rekistereistä siten
kuin asianomaisen rekisterinpitäjän kanssa sovitaan.
Viittaus rekisterinpitäjän kanssa tehtävään
sopimukseen ei valiokunnan mielestä sovi kovin hyvin sääntely-yhteyteen,
jossa on kysymys viranomaisen oikeudesta saada laissa
säädetyllä tavalla ja uhkasakon tehostamana
perustuslaissa suojattuja henkilötietoja muilta viranomaisilta
ja rekisterinpitäjiltä. Vastaava sääntely
sisältyy kuitenkin perustuslakivaliokunnan myötävaikutuksella säädettyyn
henkilötietojen käsittelyä poliisitoiminnassa
koskevan lain 13 §:ään (ks. PeVL 18/2012
vp). Valiokunnan mielestä sopimisessa on tällaisessa
yhteydessä kyse tietojen teknisen siirron käytännöllisistä järjestelyistä.
Tietojen luovuttamisesta muulle viranomaiselle ehdotetaan säädettäväksi
17 §:ssä. Luovutettavat tietosisällöt
on lueteltu säännöksessä tyhjentävästi
ja luovuttaminen on sidottu tarpeellisuusvaatimukseen, eikä sääntely
ole siten valtiosääntöoikeudellisesti
ongelmallista.
Muita seikkoja.
Perustuslakivaliokunta on aikaisemmin todennut, että laki
henkilötietojen käsittelystä poliisitoimessa
on rakenteeltaan ja sisällöltään
varsin monimutkainen ja valtioneuvoston on syytä harkita
sen kokonaisuudistusta viimeistään siinä vaiheessa,
kun EU:n valmisteilla olevan uuden tietosuojasääntelyn
lopullinen sisältö on selvillä (ks. PeVL 43/2014
vp, s. 2—3 ja PeVL 18/2012
vp, s. 4). Valiokunta toteaa, että vastaava kanta
koskee myös nyt ehdotettua lakia, ja korostaa, että tulevan
lainsäädännön valtiosääntöoikeudellinen
arviointi tulee aikanaan tehtäväksi
lainsäädännön kokonaisuuden
pohjalta. Esitutkintaviranomaisten rekistereihin talletetaan runsaasti
sellaisia tietoja, joiden suojaaminen oikeudettomalta käytöltä on erittäin
tärkeää. Nyt käsiteltävänä olevan
lakiehdotuksen myötä tietosisältöjen
määrä edelleen kasvaa. Tällaisessa
tilanteessa tietojen käytön valvontaan on kiinnitettävä korostettua
huomiota.