EU:n ja Suomen lainsäädännön mukaan henkilötietoja ei saa siirtää ilman asianmukaisia takeita sellaisille EU:n tai Euroopan talousalueen ulkopuolisille maille, jotka eivät takaa henkilötietojen riittävää suojaa. Yhdysvaltojen lainsäädäntö ei takaa riittävää tietosuojan tasoa, minkä vuoksi henkilötietojen siirrossa Yhdysvaltoihin tarvitaan lisätakeita.
Käsillä oleva sopimus on lainvalvontayhteistyön puitteissa tapahtuvaan tietojenvaihtoon soveltuva puitesopimus. Perustuslakivaliokunnassa on käsiteltävänä erillisenä asiana valtioneuvoston selvitys komission tiedonannosta henkilötietojen siirrosta EU:n ja Yhdysvaltojen välillä (E 33/2016 vp), jossa on kyse EU-tuomioistuimen pätemättömäksi toteaman komission Safe Harbor ‑järjestelyn korvaavasta ns. Privacy Shield -järjestelystä. Sanottu järjestely mahdollistaisi kaupallisissa tarkoituksissa tapahtuvat henkilötietojen siirrot Yhdysvaltoihin.
EU:n ja Yhdysvaltojen välinen puitesopimus on merkityksellinen yksityiselämän ja henkilötietojen suojan kannalta. Perustuslakivaliokunta on arvioidessaan tällaista sääntelyä katsonut, että sääntelyä on tarkasteltava perustuslain 10 §:n kannalta. Sen 1 momentin mukaan henkilötietojen suojasta säädetään tarkemmin lailla. Perustuslakivaliokunnan vakiintuneen käytännön mukaan lainsäätäjän liikkumavaraa rajoittaa tämän säännöksen lisäksi myös se, että henkilötietojen suoja osittain sisältyy samassa momentissa turvatun yksityiselämän suojan piiriin. Kysymys on kaiken kaikkiaan siitä, että lainsäätäjän tulee turvata tämä oikeus tavalla, jota voidaan pitää hyväksyttävänä perusoikeusjärjestelmän kokonaisuudessa. Valiokunta on käytännössään pitänyt henkilötietojen suojan kannalta tärkeinä sääntelykohteina ainakin rekisteröinnin tavoitetta, rekisteröitävien henkilötietojen sisältöä, niiden sallittuja käyttötarkoituksia mukaan luettuna tietojen luovutettavuus sekä tietojen säilytysaikaa henkilörekisterissä ja rekisteröidyn oikeusturvaa. Näiden seikkojen sääntelyn lain tasolla tulee lisäksi olla kattavaa ja yksityiskohtaista (ks. esim. PeVL 13/2016 vp, s. 3—4). Myös Euroopan unionin perusoikeuskirjan 8 artiklassa turvataan jokaisen oikeus henkilötietojensa suojaan.
Perustuslakivaliokunta on aiemmin arvioinut EU:n ja Yhdysvaltojen välisiä sopimusjärjestelyjä henkilötietojen suojan kannalta mm. lausunnossa PeVL 25/2009 vp. Valiokunta korosti tuolloin edellä mainittujen seikkojen lisäksi tietosuojan riittävää tasoa tietoja edelleen siirrettäessä sekä käyttötarkoitussidonnaisuuden periaatetta. Valiokunta painotti, että tietojen luovuttamista koskevan sopimuksen yhteydessä on tärkeää huolehtia myös siitä, että rekisteröidyillä on riittävät oikeusturvatakeet tietoja vastaanottavassa maassa.
Nyt käsillä olevan sopimuksen tarkoituksena on turvata korkea henkilötietojen suoja lainvalvonnan alalla tapahtuvissa henkilötietojen siirroissa ja näin helpottaa EU:n ja Yhdysvaltojen välistä lainvalvonnan alan yhteistyötä. Kansalliseen turvallisuuteen liittyvä yhteistyö ja tiedot eivät kuulu sopimuksen soveltamisalan piiriin. Perustuslakivaliokunnan mielestä sopimus on tarpeellinen ja tarkoitukseltaan hyväksyttävä.
Perustuslakivaliokunta kiinnittää kuitenkin erityistä huomiota valtioneuvostonkin eräiltä osin ongelmallisina pitämiin sopimusjärjestelyihin.
Sopimus takaisi oikeuden oikeudellisiin muutoksenhakukeinoihin ainoastaan EU:n kansalaisille. Perustuslain 21 §:n mukaan jokaisella on oikeus saada asiansa käsitellyksi asianmukaisesti ja ilman aiheetonta viivytystä lain mukaan toimivaltaisessa tuomioistuimessa tai muussa viranomaisessa sekä oikeus saada oikeuksiaan ja velvollisuuksiaan koskeva päätös tuomioistuimen tai muun riippumattoman lainkäyttöelimen käsiteltäväksi. Valiokunta on jo aiemmin kiinnittänyt huomiota siihen, että perustuslain säännös on merkityksellinen myös henkilötietojen käsittelyn kannalta (PeVL 19/2012 vp, s. 5). Perustuslakivaliokunnan mielestä rajaus on ongelmallisessa suhteessa perustuslain 21 §:stä ilmenevään oikeusturvan luonteeseen jokaiselle kuuluvana oikeutena.
Perustuslakivaliokunta kiinnittää valtioneuvoston huomiota siihen, että myös rajauksen suhde EU:n perusoikeuskirjassa turvattuun oikeusturvaan vaikuttaa epäselvältä. EU:n tuomioistuin on nimenomaisesti painottanut tuomiossa C-362/14 (Maximillian Schrems vastaan Data Protection Commissioner), että säännöstö, jossa yksityisille ei anneta mitään mahdollisuutta käyttää oikeussuojakeinoja, jotta he saisivat tutustua henkilötietoihinsa tai voisivat saada tällaiset tiedot oikaistuiksi tai poistetuiksi, ei ole tehokasta oikeussuojaa koskevan perusoikeuden, sellaisena kuin se vahvistetaan perusoikeuskirjan 47 artiklassa, keskeisen sisällön mukainen. Perusoikeuskirjan 47 artiklan ensimmäisessä kohdassa edellytetään, että jokaisella, jonka unionin oikeudessa taattuja oikeuksia ja vapauksia on loukattu, on oltava artiklassa määrättyjen edellytysten mukaisesti käytettävissään tehokkaat oikeussuojakeinot tuomioistuimessa. Tuomioistuin korosti erikseen, että unionin oikeuden määräysten ja säännösten noudattamisen varmistamiseen tarkoitetun tehokkaan tuomioistuinvalvonnan itse olemassaolo kuuluu erottamattomana osana oikeusvaltioon (tuomion kohta 95).
Perustuslain 6 §:n mukaan ihmiset ovat yhdenvertaisia lain edessä. Ketään ei saa ilman hyväksyttävää perustetta asettaa eri asemaan sukupuolen, iän, alkuperän, kielen, uskonnon, vakaumuksen, mielipiteen, terveydentilan, vammaisuuden tai muun henkilöön liittyvän syyn perusteella. Perustuslakivaliokunnan mielestä rajaukselle ei ole esitetty sellaisia perusteita, jotka oikeuttaisivat rajaamaan oikeuden oikeudellisiin muutoksenhakukeinoihin ainoastaan EU:n kansalaisille. Valiokunta kiinnittää valtioneuvoston huomiota siihen, että asiallisesti vastaavat yhdenvertaisuuden perusoikeustakeet (20 ja 21 art.) sisältyvät myös EU:n perusoikeuskirjaan.
Perustuslakivaliokunta kiinnittää huomiota myös siihen, että sopimuksen 5 artiklan tekstin mukaan sen täytäntöönpano johtaa siihen, että sopimuksen soveltamisalalla tapahtuvissa henkilötietojen siirroissa ei tarvita henkilötietojen siirtoa koskevia lisätakeita. Toisaalta 6 artiklan 3 kohdassa annetaan tiedot siirtävälle toimivaltaiselle viranomaiselle oikeus yksittäistapauksissa asettaa lisäehtoja, mutta yleisiä tietosuojaa koskevia edellytyksiä se ei voi asettaa. Valtioneuvosto on sopimusneuvottelujen kuluessa pitänyt edellä mainittujen sopimusmääräysten valossa epäselvänä, pitäisikö sopimusta tulkita siten, että silloin kun sopimusmääräyksiä noudatetaan, tietojen siirroissa katsottaisiin aina taattavan tietosuojan riittävä taso, eikä tietojen siirroilta voitaisi koskaan edellyttää lisätakeita (E 35/2016 vp, s. 3/8). Tämä tarkoittaisi sitä, että sopimus olisi verrattavissa komission henkilötietodirektiivin (95/46/EY) 25 artiklan 6 kohdan nojalla tekemään tietosuojan riittävyyttä koskevaan päätökseen, joka oikeuttaa siirtämään henkilötietoja kolmanteen maahan ilman lisätakeita. Epäselvyyttä ei käsitellä kirjelmässä U 20/2016 vp, mikä valiokunnan käsityksen ja saaman selvityksen mukaan voi viitata siihen, että lisätakeiden vaatiminen ei olisi mahdollista. Valiokunnan mielestä tällainen epävarmuus sopimuksen sisällön kannalta varsin keskeisestä kysymyksestä on ratkaistava ennen sopimuksen hyväksymistä. Vaikka sinänsä on selvää, että sopimus ei voi syrjäyttää EU:n primaarioikeuteen sisältyviä määräyksiä tietosuojasta, valiokunnan käsityksen mukaan valtioneuvoston olisi syytä pyrkiä siihen, että sopimus ei tietosuojan tason parantamiseen pyrkivänä sopimuksensa johda siihen, ettei lisätakeita voitaisi edellyttää.
Perustuslakivaliokunnan mukaan valtioneuvoston on syytä varmistaa, että sopimus ei merkitse laajamittaista, erittelemätöntä, pitkäaikaista ja rajoittamatonta tietojen säilyttämistä yhdistettynä viranomaisten erittelemättömään ja rajoittamattomaan pääsyyn näihin tietoihin (PeVL 18/2014 vp, s. 6/I—II).
Perustuslakivaliokunta kiinnittää huomiota myös siihen, että Yhdysvaltojen voimassa oleva sääntely kytkee oikeudelliset muutoksenhakukeinot siihen, että asianomainen maa luovuttaa Yhdysvalloille henkilötietoja kaupallisissa tarkoituksissa. Valiokunnan saaman selvityksen mukaan ei ole aivan selvää, mitä rajaus merkitsee. Valiokunnan käsityksen mukaan valtioneuvoston on syytä varmistua rajauksen merkityksestä suhteessa sopimuksen päämääriin.
Muita huomioita
Käsiteltävänä oleva valtiopäiväasia on tullut eduskuntaan vireille 25.4.2016 valtioneuvoston selvityksenä mainitusta sopimuksesta (E 35/2016 vp), ja asian käsittely on jatkunut eduskunnalle ehdotuksista neuvoston päätöksiksi allekirjoittaa ja tehdä sopimus 12.5.2016 annetun valtioneuvoston kirjelmän (U 20/2016 vp) perusteella. Syynä menettelylle on ollut asian käsittelyn kireä aikataulu. Perustuslakivaliokunta on yhdistänyt E- ja U-asian käsittelyn (PeVP 45/2016 vp). Valiokunta kiinnittää huomiota siihen, että tämänkaltaisissa tapauksissa valtioneuvoston on tehtävä selkoa U-kirjelmässä E-selvityksen ja U-kirjelmän välisistä eroista Suomen kannoissa.