Perustelut

Ehdotettu sääntely

Hallituksen esityksessä ehdotetaan säädettäväksi laki henkilötietojen käsittelystä Tullissa. Ehdotettu laki on oleellisilta osiltaan yhdenmukainen sekä henkilötietojen käsittelystä poliisitoimessa annetun lain että henkilötietojen käsittelystä rajavartiolaitoksessa annetun lain kanssa, jotka on molemmat säädetty perustuslakivaliokunnan myötävaikutuksella (ks. PeVL 51/2002 vp ja PeVL 19/2005 vp). Lisäksi henkilötietojen käsittelystä poliisitoimessa annetun lain muutokset on pääosin säädetty perustuslakivaliokunnan myötävaikutuksella (ks. PeVL 18/2012 vp ja PeVL 43/2014 vp). Nyt ehdotetussa sääntelyssä on pyritty Tullin toiminnan erityispiirteet huomioiden ottamaan perustuslakivaliokunnan aiempi lausuntokäytäntö huomioon.

Ehdotettu laki sisältää 8 lukua, joista 1 luvussa on säännökset lain soveltamisalasta ja määritelmistä, 2 luvussa erilliset säännökset kustakin Tullin tietojärjestelmästä ja muista henkilörekistereistä ja 5 luvussa säännökset tietojen käyttämisestä ja luovuttamisesta.

Ehdotuksen mukaan Tullin tietojärjestelmiä ja rekistereitä ovat rikostorjunnan tietojärjestelmä, tiedustelurekisteri, tullivalvonnan tietojärjestelmä, rekisterikilpien ja konttien kuvaus- ja tunnistusjärjestelmä ja "Tullin muut henkilörekisterit". Ehdotettu 13 § sisältää 20-kohtaisen luettelon Tullin oikeudesta saada tietoja eräistä muiden viranomaisten rekistereistä ja tietojärjestelmistä.

Arviointi

Henkilörekisterit.

Ehdotettu henkilörekisterisääntely on valtiosääntöoikeudellisesti merkityksellistä ennen muuta perustuslain 10 §:ssä turvatun henkilötietojen suojan kannalta. Henkilötietojen suojasta säädetään perustuslain 10 §:n 1 momentin mukaan tarkemmin lailla. Perustuslakivaliokunnan käytännön mukaan lainsäätäjän liikkuma-alaa rajoittaa tämän säännöksen lisäksi myös se, että henkilötietojen suoja osittain sisältyy samassa momentissa turvatun yksityiselämän suojan piiriin. Perustuslakivaliokunta on vakiintuneesti katsonut, että lainsäätäjän tulee turvata henkilötietojen suoja tavalla, jota voidaan pitää hyväksyttävänä perusoikeusjärjestelmän kokonaisuudessa (ks. esim. PeVL 18/2012 vp, s. 2).

Perustuslakivaliokunnan käytännössä ehdotetun kaltaista rekisterisääntelyä arvioitaessa on kiinnitetty huomiota erityisesti rekisteröinnin tavoitteisiin, rekisteröitävien henkilötietojen sisältöön, niiden sallittuihin käyttötarkoituksiin, tietojen luovutettavuuteen, tietojen säilytysaikaan ja rekisteröidyn oikeusturvaan. Valiokunta on vakiintuneesti katsonut, että näitä seikkoja koskevan sääntelyn lain tasolla tulee olla kattavaa ja yksityiskohtaista (esim. PeVL 19/2012 vp, s. 2/I, PeVL 35/2004 vp, s. 2/II ja PeVL 51/2002 vp, s. 2/I). Lailla säätämisen vaatimus ulottuu myös mahdollisuuteen luovuttaa henkilötietoja teknisen käyttöyhteyden avulla (PeVL 12/2002 vp, s. 5).

Ehdotetun 1. lakiehdotuksen 3 §:n 3 momentin 2 kohdan mukaan Tulli saa oikeuden tallettaa havaintotietoja sekä 11 §:n mukaan salaisilla tiedonhankintakeinoilla saatuja ylimääräisiä tietoja. Nämä tiedot ovat yksityiselämän ja henkilötietojen suojan kannalta merkittäviä. Havaintotietojen osalta ehdotettu sääntely vastaa henkilötietojen käsittelystä poliisitoimessa annetun lain 2 §:n 3 momentin 11 kohdan sääntelyä ja ehdotettu salaisilla tiedonhankintakeinoilla saatuja ylimääräisiä tietoja koskeva sääntely pääpiirteissään kyseisen lain 11 §:n sääntelyä, mitkä on säädetty perustuslakivaliokunnan myötävaikutuksella (PeVL 18/2012 vp). Havaintotietojen rekisteröinti lakiehdotuksessa esitetyllä tavalla toteuttaa riittävän täsmällisyyden vaatimukset edellyttäen, että Tulli huolehtii siitä, että sille ilmoitettujen tietojen rekisteröinnin ehtona on tietojen luotettavuuden varmistaminen.

Ehdotetun 1. lakiehdotuksen 4 §:n 2 momentin mukaan tiedustelurekisteriin saa tallettaa muun muassa henkilön oman turvallisuuden tai viranomaisten työturvallisuuden kannalta välttämättömät tiedot. Valiokunta huomauttaa, että säännöksessä on ainakin osittain kysymys niin sanotuista arkaluonteisista tiedoista. Tämän vuoksi on erityisen tärkeää, että sallitut tietosisällöt ilmenevät säännöksestä mahdollisimman tyhjentävästi (samoin myös PeVL 18/2012 vp, s. 3 ja PeVL 51/2002 vp, s. 2).

Ehdotetun 1. lakiehdotuksen 7 §:n 2 momentin 1 kohdan mukaan yhden tai useamman Tullin toimintayksikön käyttöön voidaan perustaa muu kuin 3—6 §:ssä tarkoitettu tietojärjestelmä tai henkilörekisteri. Lakiehdotuksesta ja perusteluista puuttuu kokonaan 1 kohdassa tarkoitetun henkilörekisterin käyttötarkoitus ja tietosisältö. Muutoinkaan ehdotettu 7 §:n 2 momentin 1 kohta ei epämääräisyydessään täytä niitä edellytyksiä, joita perustuslakivaliokunta on rekisterisääntelyltä vakiintuneesti edellyttänyt. Valiokunnan mielestä ehdotettu 1 kohta on siksi poistettava tai sitä on täsmennettävä.

Muilta osin rekisteröitävistä henkilötiedoista on ehdotettu säädettäväksi yksityiskohtaisesti ja tyhjentävin luetteloin. Tästä on seurannut, että luetteloista on muodostunut varsin pitkiä ja kasuistisia. Sääntely ei kuitenkaan muodostu valtiosääntöoikeudellisesti ongelmalliseksi.

Oikeus saada ja luovuttaa henkilötietoja.

Viranomaisten tietojen saamista ja luovuttamista koskevaa sääntelyä perustuslain 10 §:n 1 momentissa säädetyn yksityiselämän ja henkilötietojen suojan kannalta arvioidessaan perustuslakivaliokunta on kiinnittänyt huomiota muun muassa siihen, mihin ja ketä koskeviin tietoihin tiedonsaantioikeus ulottuu ja miten tiedonsaantioikeus sidotaan tietojen välttämättömyyteen. Viranomaisen tietojensaantioikeus ja tietojenluovuttamismahdollisuus ovat valiokunnan mukaan voineet liittyä jonkin tarkoituksen kannalta "tarpeellisiin tietoihin", jos tarkoitetut tietosisällöt on pyritty luettelemaan laissa tyhjentävästi. Jos taas tietosisältöjä ei ole samalla tavoin luetteloitu, sääntelyyn on pitänyt sisällyttää vaatimus "tietojen välttämättömyydestä" jonkin tarkoituksen kannalta. Valiokunta ei toisaalta ole pitänyt hyvin väljiä ja yksilöimättömiä tietojensaantioikeuksia perustuslain kannalta mahdollisina edes silloin, kun ne on sidottu välttämättömyyskriteeriin (ks. esim. PeVL 62/2010 vp, s. 4/I ja PeVL 59/2010 vp, s. 4/I).

Ensimmäisessä lakiehdotuksessa on yksityiskohtaiset säännökset sekä Tullin oikeudesta saada tietoja eräistä rekistereistä ja tietojärjestelmistä (13 ja 14 §) että tietojen luovuttamisesta muille viranomaisille (17 §). Samoja teemoja koskevia säännöksiä on tämän lisäksi myös säännöksissä viitatuissa laeissa. Tämä merkitsee kaksinkertaista sääntelyä, mikä ei kuitenkaan sellaisenaan ole valiokunnan mielestä valtiosääntöoikeudellisesti ongelmallista. Se kuitenkin johtaa raskaaseen sääntelyrakenteeseen ja on omiaan synnyttämään tulkintaongelmia.

Hallituksen esityksen 1. lakiehdotuksen 13 § koskee tullin oikeutta saada tietoja eräistä rekistereistä ja tietojärjestelmistä. Ehdotetun 1 momentin perusteella tullilla on salassapitosäännösten estämättä oikeus saada ja muutoin käsitellä tehtäviensä suorittamista tai henkilörekisteriensä ylläpitämistä varten ja myös teknisen käyttöyhteyden avulla tai tietojoukkona tarpeellisia tietoja rekistereistä siten kuin asianomaisen rekisterinpitäjän kanssa sovitaan. Viittaus rekisterinpitäjän kanssa tehtävään sopimukseen ei valiokunnan mielestä sovi kovin hyvin sääntely-yhteyteen, jossa on kysymys viranomaisen oikeudesta saada laissa säädetyllä tavalla ja uhkasakon tehostamana perustuslaissa suojattuja henkilötietoja muilta viranomaisilta ja rekisterinpitäjiltä. Vastaava sääntely sisältyy kuitenkin perustuslakivaliokunnan myötävaikutuksella säädettyyn henkilötietojen käsittelyä poliisitoiminnassa koskevan lain 13 §:ään (ks. PeVL 18/2012 vp). Valiokunnan mielestä sopimisessa on tällaisessa yhteydessä kyse tietojen teknisen siirron käytännöllisistä järjestelyistä.

Tietojen luovuttamisesta muulle viranomaiselle ehdotetaan säädettäväksi 17 §:ssä. Luovutettavat tietosisällöt on lueteltu säännöksessä tyhjentävästi ja luovuttaminen on sidottu tarpeellisuusvaatimukseen, eikä sääntely ole siten valtiosääntöoikeudellisesti ongelmallista.

Muita seikkoja.

Perustuslakivaliokunta on aikaisemmin todennut, että laki henkilötietojen käsittelystä poliisitoimessa on rakenteeltaan ja sisällöltään varsin monimutkainen ja valtioneuvoston on syytä harkita sen kokonaisuudistusta viimeistään siinä vaiheessa, kun EU:n valmisteilla olevan uuden tietosuojasääntelyn lopullinen sisältö on selvillä (ks. PeVL 43/2014 vp, s. 2—3 ja PeVL 18/2012 vp, s. 4). Valiokunta toteaa, että vastaava kanta koskee myös nyt ehdotettua lakia, ja korostaa, että tulevan lainsäädännön valtiosääntöoikeudellinen arviointi tulee aikanaan tehtäväksi lainsäädännön kokonaisuuden pohjalta. Esitutkintaviranomaisten rekistereihin talletetaan runsaasti sellaisia tietoja, joiden suojaaminen oikeudettomalta käytöltä on erittäin tärkeää. Nyt käsiteltävänä olevan lakiehdotuksen myötä tietosisältöjen määrä edelleen kasvaa. Tällaisessa tilanteessa tietojen käytön valvontaan on kiinnitettävä korostettua huomiota.