Viimeksi julkaistu 9.5.2021 14.04

2016 vp Perustuslakivaliokunta Valtioneuvoston kirjelmä eduskunnalle ehdotuksista neuvoston päätöksiksi allekirjoittaa ja tehdä sopimus (EU-USA tietosuojasopimus)Valtioneuvoston selvitys: Euroopan unionin ja Amerikan Yhdysvaltojen välinen sopimus henkilötietojen suojasta kun kyseisiä tietoja siirretään ja käsitellään rikosten, mukaan lukien terrorismi, ennalta estämistä, paljastamista ja selvittämistä varten sekä syytetoimia varten (EU-USA tietosuojasopimus)

Suurelle valiokunnalle

JOHDANTO

Vireilletulo

Valtioneuvoston kirjelmä eduskunnalle ehdotuksista neuvoston päätöksiksi allekirjoittaa ja tehdä sopimus (EU-USA tietosuojasopimus) (U 20/2016 vp): Asia on saapunut perustuslakivaliokuntaan lausunnon antamista varten. Lausunto on annettava suurelle valiokunnalle.

Valtioneuvoston selvitys: Euroopan unionin ja Amerikan Yhdysvaltojen välinen sopimus henkilötietojen suojasta kun kyseisiä tietoja siirretään ja käsitellään rikosten, mukaan lukien terrorismi, ennalta estämistä, paljastamista ja selvittämistä varten sekä syytetoimia varten (EU-USA tietosuojasopimus) (E 35/2016 vp): Asia on saapunut perustuslakivaliokuntaan mahdollisia toimenpiteitä varten.

Asiantuntijat

Valiokunta on kuullut:

neuvotteleva virkamies Leena Rantalankila
oikeusministeriö
tietosuojavaltuutettu Reijo Aarnio
tietosuojavaltuutetun toimisto
professori Juha Lavapuro
professori Tuomas Ojanen
professori Tomi Voutilainen

VALTIONEUVOSTON KIRJELMÄ JA VALTIONEUVOSTON SELVITYS

Ehdotus

EU-USA tietosuojasopimus on puitesopimus, jossa vahvistettuja suojatoimenpiteitä ja takeita sovelletaan horisontaalisesti kaikkeen rikosasioissa tehtävän transatlanttisen lainvalvontayhteistyön puitteissa tapahtuvaan tietojenvaihtoon. Tämä käsittää tietojen siirrot, jotka perustuvat kansalliseen lainsäädäntöön, EU:n ja Yhdysvaltojen välisiin sopimuksiin, jäsenvaltioiden ja Yhdysvaltojen välisiin sopimuksiin (esim. keskinäistä oikeusapua koskevat sopimukset) sekä erityissopimuksiin, joissa määrätään yksityisten tahojen suorittamasta henkilötietojen siirrosta lainvalvontatarkoituksiin (esim. EU:n ja Yhdysvaltojen välinen matkustajatietojen luovuttamista koskeva ns. PNR-sopimus).

Valtioneuvoston kanta

U 20/2016 vp

EU:n, sen jäsenvaltioiden ja Yhdysvaltojen kyky reagoida tehokkaasti yhteisiin turvallisuusuhkiin ja -haasteisiin on suuresti riippuvainen henkilötietojen vaihdosta rikosasioissa tehtävässä poliisi- ja oikeudellisessa yhteistyössä. Tietojen vaihto edellyttää henkilötietojen suojan riittävää tasoa.

Valtioneuvosto pitää saavutettua neuvottelutulosta merkittävänä saavutuksena EU:lle. EU-USA tietosuojapuitesopimuksessa vahvistetaan ensimmäistä kertaa yhdenmukaiset ja kattavat tietosuojaa koskevat takeet, joita sovelletaan kaikkeen poliisi- ja rikosoikeudellisen yhteistyön alalla tapahtuvaan transatlanttiseen tietojenvaihtoon asianomaisten viranomaisten välillä (pl. rangaistusten täytäntöönpano). Sopimus tuo merkittävän parannuksen nykytilanteeseen, jossa epäyhdenmukaiset ja usein heikot tietosuojasäännöt ovat hajallaan lukuisissa monenvälisissä, kahdenvälisissä, kansallisissa ja alakohtaisissa välineissä. Sopimus myös antaa ensimmäistä kertaa EU:n kansalaisille oikeudellisia muutoksenhakuoikeuksia Yhdysvalloissa sopimuksen soveltamisalalla.

Valtioneuvosto pitää hyvänä sitä, että

– sopimus olisi puitesopimus, jossa vahvistettuja tietosuojatakeita sovellettaisiin horisontaalisesti kaikissa Yhdysvaltoihin lainvalvontatarkoituksissa tapahtuvissa henkilötietojen siirroissa,

– sopimus ei muodostaisi oikeusperustaa lainvalvontatarkoituksissa tapahtuville siirroille,

– sopimuksella olisi takautuva vaikutus siinä mielessä, että se täydentäisi voimassa olevien sopimusten tietosuojatakeita,

– sopimus antaisi EU:n kansalaisille oikeudellisia muutoksenhakukeinoja Yhdysvalloissa tapauksissa, jotka koskevat tietoihin tutustumisen epäämistä, oikaisumahdollisuuden epäämistä ja tietojen laitonta luovuttamista,

– sopimuksen määräykset kattavat kaikki EU:n keskeiset tietosuojasäännöt, jotka koskevat henkilötietojen käsittelyä koskevia vaatimuksia (esim. tietojen laatu ja eheys, tietoturva, vastuuvelvollisuus ja valvonta), suojatoimia ja rajoituksia (esim. käyttötarkoituksen rajoitukset, tietojen säilyttäminen, tietojen edelleensiirrot, arkaluonteisten tietojen käsittely) sekä yksilön oikeuksia (tietojen saanti, oikaisu, hallinnollinen ja oikeudellinen muutoksenhaku),

– sopimuksen täytäntöönpanoa arvioidaan määräajoin tehtävien yhteisten tarkastelujen avulla

– sopimuksen soveltaminen voidaan keskeyttää, jos sopimuksen määräyksiä rikotaan ja kumpikin sopimuspuoli voi päättää sopimuksen voimassaolon milloin tahansa.

On kuitenkin esitetty varteenotettavia epäilyjä siitä, onko sopimus EU:n perusoikeuskirjan mukainen, koska se ei takaa perusoikeuskirjan 47 artiklan mukaista oikeutta tehokkaisiin oikeussuojakeinoihin tuomioistuimessa jokaiselle, vaan ainoastaan sopimuspuolten kansalaisille. Valtioneuvosto suhtautuu näihin epäilyihin vakavasti. On kuitenkin huomattava, että EU ja sen jäsenvaltiot ovat jo ennen Judicial Redress Act -säädöksen ja sen antamien oikeussuojakeinojen voimaantuloa tehneet Yhdysvaltojen kanssa useita tietosuojasopimuksen soveltamisalaan kuuluvia sopimuksia, eivätkä ne kaikki ole taanneet tehokkaita oikeussuojakeinoja. EU-USA tietosuojasopimuksen yhdenmukaisuuden perusoikeuskirjan kanssa ratkaisee viimekädessä EU:n tuomioistuin.

Valtioneuvosto katsoo, että se voi kokonaisharkinnan perusteella hyväksyä sopimuksen allekirjoittamista ja hyväksymistä koskevat neuvoston päätösehdotukset. Lopullinen päätös sopimuksen tekemisestä voidaan kuitenkin tehdä vasta kun neuvosto on saanut Euroopan parlamentin hyväksynnän sopimuksen tekemiseen.

Suomella on varauma sopimusluonnokseen kansallisen kannanmuodostuksen ollessa kesken.

VALIOKUNNAN PERUSTELUT

EU:n ja Suomen lainsäädännön mukaan henkilötietoja ei saa siirtää ilman asianmukaisia takeita sellaisille EU:n tai Euroopan talousalueen ulkopuolisille maille, jotka eivät takaa henkilötietojen riittävää suojaa. Yhdysvaltojen lainsäädäntö ei takaa riittävää tietosuojan tasoa, minkä vuoksi henkilötietojen siirrossa Yhdysvaltoihin tarvitaan lisätakeita.

Käsillä oleva sopimus on lainvalvontayhteistyön puitteissa tapahtuvaan tietojenvaihtoon soveltuva puitesopimus. Perustuslakivaliokunnassa on käsiteltävänä erillisenä asiana valtioneuvoston selvitys komission tiedonannosta henkilötietojen siirrosta EU:n ja Yhdysvaltojen välillä (E 33/2016 vp), jossa on kyse EU-tuomioistuimen pätemättömäksi toteaman komission Safe Harbor ‑järjestelyn korvaavasta ns. Privacy Shield -järjestelystä. Sanottu järjestely mahdollistaisi kaupallisissa tarkoituksissa tapahtuvat henkilötietojen siirrot Yhdysvaltoihin.

EU:n ja Yhdysvaltojen välinen puitesopimus on merkityksellinen yksityiselämän ja henkilötietojen suojan kannalta. Perustuslakivaliokunta on arvioidessaan tällaista sääntelyä katsonut, että sääntelyä on tarkasteltava perustuslain 10 §:n kannalta. Sen 1 momentin mukaan henkilötietojen suojasta säädetään tarkemmin lailla. Perustuslakivaliokunnan vakiintuneen käytännön mukaan lainsäätäjän liikkumavaraa rajoittaa tämän säännöksen lisäksi myös se, että henkilötietojen suoja osittain sisältyy samassa momentissa turvatun yksityiselämän suojan piiriin. Kysymys on kaiken kaikkiaan siitä, että lainsäätäjän tulee turvata tämä oikeus tavalla, jota voidaan pitää hyväksyttävänä perusoikeusjärjestelmän kokonaisuudessa. Valiokunta on käytännössään pitänyt henkilötietojen suojan kannalta tärkeinä sääntelykohteina ainakin rekisteröinnin tavoitetta, rekisteröitävien henkilötietojen sisältöä, niiden sallittuja käyttötarkoituksia mukaan luettuna tietojen luovutettavuus sekä tietojen säilytysaikaa henkilörekisterissä ja rekisteröidyn oikeusturvaa. Näiden seikkojen sääntelyn lain tasolla tulee lisäksi olla kattavaa ja yksityiskohtaista (ks. esim. PeVL 13/2016 vp, s. 3—4). Myös Euroopan unionin perusoikeuskirjan 8 artiklassa turvataan jokaisen oikeus henkilötietojensa suojaan.

Perustuslakivaliokunta on aiemmin arvioinut EU:n ja Yhdysvaltojen välisiä sopimusjärjestelyjä henkilötietojen suojan kannalta mm. lausunnossa PeVL 25/2009 vp. Valiokunta korosti tuolloin edellä mainittujen seikkojen lisäksi tietosuojan riittävää tasoa tietoja edelleen siirrettäessä sekä käyttötarkoitussidonnaisuuden periaatetta. Valiokunta painotti, että tietojen luovuttamista koskevan sopimuksen yhteydessä on tärkeää huolehtia myös siitä, että rekisteröidyillä on riittävät oikeusturvatakeet tietoja vastaanottavassa maassa.

Nyt käsillä olevan sopimuksen tarkoituksena on turvata korkea henkilötietojen suoja lainvalvonnan alalla tapahtuvissa henkilötietojen siirroissa ja näin helpottaa EU:n ja Yhdysvaltojen välistä lainvalvonnan alan yhteistyötä. Kansalliseen turvallisuuteen liittyvä yhteistyö ja tiedot eivät kuulu sopimuksen soveltamisalan piiriin. Perustuslakivaliokunnan mielestä sopimus on tarpeellinen ja tarkoitukseltaan hyväksyttävä.

Perustuslakivaliokunta kiinnittää kuitenkin erityistä huomiota valtioneuvostonkin eräiltä osin ongelmallisina pitämiin sopimusjärjestelyihin.

Sopimus takaisi oikeuden oikeudellisiin muutoksenhakukeinoihin ainoastaan EU:n kansalaisille. Perustuslain 21 §:n mukaan jokaisella on oikeus saada asiansa käsitellyksi asianmukaisesti ja ilman aiheetonta viivytystä lain mukaan toimivaltaisessa tuomioistuimessa tai muussa viranomaisessa sekä oikeus saada oikeuksiaan ja velvollisuuksiaan koskeva päätös tuomioistuimen tai muun riippumattoman lainkäyttöelimen käsiteltäväksi. Valiokunta on jo aiemmin kiinnittänyt huomiota siihen, että perustuslain säännös on merkityksellinen myös henkilötietojen käsittelyn kannalta (PeVL 19/2012 vp, s. 5). Perustuslakivaliokunnan mielestä rajaus on ongelmallisessa suhteessa perustuslain 21 §:stä ilmenevään oikeusturvan luonteeseen jokaiselle kuuluvana oikeutena.

Perustuslakivaliokunta kiinnittää valtioneuvoston huomiota siihen, että myös rajauksen suhde EU:n perusoikeuskirjassa turvattuun oikeusturvaan vaikuttaa epäselvältä. EU:n tuomioistuin on nimenomaisesti painottanut tuomiossa C-362/14 (Maximillian Schrems vastaan Data Protection Commissioner), että säännöstö, jossa yksityisille ei anneta mitään mahdollisuutta käyttää oikeussuojakeinoja, jotta he saisivat tutustua henkilötietoihinsa tai voisivat saada tällaiset tiedot oikaistuiksi tai poistetuiksi, ei ole tehokasta oikeussuojaa koskevan perusoikeuden, sellaisena kuin se vahvistetaan perusoikeuskirjan 47 artiklassa, keskeisen sisällön mukainen. Perusoikeuskirjan 47 artiklan ensimmäisessä kohdassa edellytetään, että jokaisella, jonka unionin oikeudessa taattuja oikeuksia ja vapauksia on loukattu, on oltava artiklassa määrättyjen edellytysten mukaisesti käytettävissään tehokkaat oikeussuojakeinot tuomioistuimessa. Tuomioistuin korosti erikseen, että unionin oikeuden määräysten ja säännösten noudattamisen varmistamiseen tarkoitetun tehokkaan tuomioistuinvalvonnan itse olemassaolo kuuluu erottamattomana osana oikeusvaltioon (tuomion kohta 95).

Perustuslain 6 §:n mukaan ihmiset ovat yhdenvertaisia lain edessä. Ketään ei saa ilman hyväksyttävää perustetta asettaa eri asemaan sukupuolen, iän, alkuperän, kielen, uskonnon, vakaumuksen, mielipiteen, terveydentilan, vammaisuuden tai muun henkilöön liittyvän syyn perusteella. Perustuslakivaliokunnan mielestä rajaukselle ei ole esitetty sellaisia perusteita, jotka oikeuttaisivat rajaamaan oikeuden oikeudellisiin muutoksenhakukeinoihin ainoastaan EU:n kansalaisille. Valiokunta kiinnittää valtioneuvoston huomiota siihen, että asiallisesti vastaavat yhdenvertaisuuden perusoikeustakeet (20 ja 21 art.) sisältyvät myös EU:n perusoikeuskirjaan.

Perustuslakivaliokunta kiinnittää huomiota myös siihen, että sopimuksen 5 artiklan tekstin mukaan sen täytäntöönpano johtaa siihen, että sopimuksen soveltamisalalla tapahtuvissa henkilötietojen siirroissa ei tarvita henkilötietojen siirtoa koskevia lisätakeita. Toisaalta 6 artiklan 3 kohdassa annetaan tiedot siirtävälle toimivaltaiselle viranomaiselle oikeus yksittäistapauksissa asettaa lisäehtoja, mutta yleisiä tietosuojaa koskevia edellytyksiä se ei voi asettaa. Valtioneuvosto on sopimusneuvottelujen kuluessa pitänyt edellä mainittujen sopimusmääräysten valossa epäselvänä, pitäisikö sopimusta tulkita siten, että silloin kun sopimusmääräyksiä noudatetaan, tietojen siirroissa katsottaisiin aina taattavan tietosuojan riittävä taso, eikä tietojen siirroilta voitaisi koskaan edellyttää lisätakeita (E 35/2016 vp, s. 3/8). Tämä tarkoittaisi sitä, että sopimus olisi verrattavissa komission henkilötietodirektiivin (95/46/EY) 25 artiklan 6 kohdan nojalla tekemään tietosuojan riittävyyttä koskevaan päätökseen, joka oikeuttaa siirtämään henkilötietoja kolmanteen maahan ilman lisätakeita. Epäselvyyttä ei käsitellä kirjelmässä U 20/2016 vp, mikä valiokunnan käsityksen ja saaman selvityksen mukaan voi viitata siihen, että lisätakeiden vaatiminen ei olisi mahdollista. Valiokunnan mielestä tällainen epävarmuus sopimuksen sisällön kannalta varsin keskeisestä kysymyksestä on ratkaistava ennen sopimuksen hyväksymistä. Vaikka sinänsä on selvää, että sopimus ei voi syrjäyttää EU:n primaarioikeuteen sisältyviä määräyksiä tietosuojasta, valiokunnan käsityksen mukaan valtioneuvoston olisi syytä pyrkiä siihen, että sopimus ei tietosuojan tason parantamiseen pyrkivänä sopimuksensa johda siihen, ettei lisätakeita voitaisi edellyttää.

Perustuslakivaliokunnan mukaan valtioneuvoston on syytä varmistaa, että sopimus ei merkitse laajamittaista, erittelemätöntä, pitkäaikaista ja rajoittamatonta tietojen säilyttämistä yhdistettynä viranomaisten erittelemättömään ja rajoittamattomaan pääsyyn näihin tietoihin (PeVL 18/2014 vp, s. 6/I—II).

Perustuslakivaliokunta kiinnittää huomiota myös siihen, että Yhdysvaltojen voimassa oleva sääntely kytkee oikeudelliset muutoksenhakukeinot siihen, että asianomainen maa luovuttaa Yhdysvalloille henkilötietoja kaupallisissa tarkoituksissa. Valiokunnan saaman selvityksen mukaan ei ole aivan selvää, mitä rajaus merkitsee. Valiokunnan käsityksen mukaan valtioneuvoston on syytä varmistua rajauksen merkityksestä suhteessa sopimuksen päämääriin.

Muita huomioita

Käsiteltävänä oleva valtiopäiväasia on tullut eduskuntaan vireille 25.4.2016 valtioneuvoston selvityksenä mainitusta sopimuksesta (E 35/2016 vp), ja asian käsittely on jatkunut eduskunnalle ehdotuksista neuvoston päätöksiksi allekirjoittaa ja tehdä sopimus 12.5.2016 annetun valtioneuvoston kirjelmän (U 20/2016 vp) perusteella. Syynä menettelylle on ollut asian käsittelyn kireä aikataulu. Perustuslakivaliokunta on yhdistänyt E- ja U-asian käsittelyn (PeVP 45/2016 vp). Valiokunta kiinnittää huomiota siihen, että tämänkaltaisissa tapauksissa valtioneuvoston on tehtävä selkoa U-kirjelmässä E-selvityksen ja U-kirjelmän välisistä eroista Suomen kannoissa.