Hallituksen esityksen tausta ja keskeinen sisältö

Käsiteltävänä olevaan hallituksen esitykseen sisältyvillä lakiehdotuksilla pannaan täytäntöön 27 päivänä huhtikuuta 2016 annettu Euroopan parlamentin ja neuvoston direktiivi (EU) 2016/681 matkustajarekisteritietojen käytöstä terrorismirikosten ja vakavan rikollisuuden ennalta estämistä, paljastamista ja tutkintaa sekä tällaisiin rikoksiin liittyviä syytetoimia varten (matkustajarekisteridirektiivi). Direktiivin täytäntöönpanon määräaika on päättynyt 25.5.2018, joten sen täytäntöönpano on myöhässä. Hallintovaliokunta pitääkin tärkeänä, että täytäntöönpanoa koskevat lakiehdotukset ovat nyt eduskunnan käsiteltävinä. Valiokunta puoltaa hallituksen esitykseen sisältyvien lakiehdotusten hyväksymistä jäljempänä esitetyin huomautuksin ja muutosehdotuksin. 

Hallituksen esityksellä toteutetaan myös YK:n turvallisuusneuvoston terrorismin torjuntaan ja ns. vierastaistelijoihin liittyvä päätöslauselma, joka velvoittaa jäsenvaltioiden toimivaltaiset viranomaiset keräämään matkustajarekisteritietoja lentoliikenteen harjoittajilta, hyödyntämään tietoja rikostorjunnassa ja jakamaan tietoja keskenään sekä jäsenvaltioiden välillä terrorismirikosten ja niihin liittyvän matkustamisen tunnistamisessa ja ehkäisemisessä. 

Hallituksen esityksen perusteluista ilmenee, että käsiteltävänä olevien lakiehdotusten on alun perin ollut tarkoitus sisältyä hallituksen esitykseen, jossa ehdotetaan annettavaksi uusi laki henkilötietojen käsittelystä poliisitoimessa (HE 242/2018 vp). Mainittu hallituksen esitys on ollut valiokunnan käsiteltävänä samaan aikaan nyt esillä olevan hallituksen esityksen kanssa. Lisäksi valiokunnan käsittelyssä ovat olleet hallituksen esitykset henkilötietojen käsittelystä Rajavartiolaitoksessa (HE 241/2018 vp) ja henkilötietojen käsittelystä Tullissa (HE 259/2018 vp). Valiokunta toteaa, että käsiteltävänä olevan hallituksen esityksen 1. lakiehdotuksessa on useita yhtymäkohtia edellä mainittuihin hallituksen esityksiin sisältyvään lainsäädäntöön. Valiokunta ehdottaa yksityiskohtaisista perusteluista ilmenevin tavoin tämän huomioon ottamista lakiehdotuksen sisällössä. 

Matkustajarekisteridirektiivi velvoittaa lentoliikenteen harjoittajat siirtämään direktiivissä määritellyt matkustajarekisteritiedot jäsenvaltioiden perustamille tai nimeämille matkustajatietoyksiköille terrorismin ja vakavan rikollisuuden torjumiseksi. Matkustajarekisteri sisältää matkustajan varausten käsittelyä ja valvontaa koskevat tiedot. 

Valiokunta toteaa tässä yhteydessä, että kaikilla PTR-viranomaisilla on jo nykyisin oikeus omien rikostorjuntatehtäviensä hoitamiseksi saada tietoja matkustajia koskevista rekistereistä teknisen käyttöyhteyden avulla tai tietojoukkona. Voimassa olevat säännökset koskevat kaikkia liikennemuotoja. Lentoliikenteen harjoittajien direktiivin mukainen velvollisuus toimittaa matkustajatietoja viranomaisille ei näin ollen ole tässä mielessä uusi. Lentoliikenteen matkustajarekisteritietojen luovuttamiselle asetetaan kuitenkin nykyistä täsmällisemmät velvoitteet. Ehdotetuilla muutoksilla ei ole tarkoitus rajoittaa muuhun lainsäädäntöön perustuvia viranomaisten tiedonsaantioikeuksia. Valiokunta viittaa tältä osin kuitenkin direktiivin johdanto-osan 33 kappaleeseen, jonka mukaan direktiivi ei vaikuta jäsenvaltioiden mahdollisuuteen säätää kansallisessa laissaan muilta kuin lentoliikennettä harjoittavilta talouden toimijoilta, jotka suorittavat matkoihin liittyviä palveluja (esim. matkatoimistot ja matkanjärjestäjät), taikka muilta kuin direktiivissä tarkoitetuilta liikenteenharjoittajilta peräisin olevien matkustajarekisteritietojen keräämistä ja käsittelyä koskevasta järjestelmästä, kunhan kyseinen laki on unionin oikeuden mukainen. 

Suomessa direktiivin tarkoittamana matkustajatietoyksikkönä toimii poliisin, Tullin ja Rajavar-tiolaitoksen yhteistoiminnasta annetun lain (687/2009) 5 §:n mukaisessa PTR-rikostiedustelurakenteessa muodostettu yksikkö. Matkustajatietoyksiköt analysoivat tietoja ennalta määriteltyjen kriteerien mukaan sekä vertaavat tietoja terrorismirikosten ja vakavan rikollisuuden torjunnan kannalta olennaisiin kansallisiin ja kansainvälisiin tietokantoihin. Tavoitteena on tunnistaa henkilöt, joiden osalta kansallisten lainvalvontaviranomaisten tai Europolin on tehtävä lisätutkimuksia, koska nämä henkilöt saattavat olla osallisina matkustajarekisteridirektiivissä määritellyissä terrorismirikoksissa tai vakavassa rikollisuudessa.  

Mikäli aihetta lisätutkimuksille ilmenee, matkustajatietoyksikkö toimittaa tiedot oman jäsenvaltionsa toimivaltaisille viranomaisille tai toisen EU:n jäsenvaltion matkustajatietoyksikölle. Suomen toimivaltaisia viranomaisia ovat poliisi, Tulli ja Rajavartiolaitos. Myös Europolilla on oikeus pyytää yksittäisiä tietoja tehtäviensä ja toimivaltansa rajoissa. Matkustajarekisteritietoja voidaan toimittaa kolmansille maille vain yksittäistapauksessa. Matkustajarekisteridirektiivissä asetetaan rikosasioiden tietosuojadirektiivin (luonnollisten henkilöiden suojelusta toimivaltaisten viranomaisten suorittamassa henkilötietojen käsittelyssä rikosten ennalta estämistä, tutkimista, paljastamista tai rikoksiin liittyviä syytetoimia tai rikosoikeudellisten seuraamusten täytäntöönpanoa varten sekä näiden tietojen vapaasta liikkuvuudesta ja neuvoston puitepäätöksen 2008/977/YOS kumoamisesta annettu Euroopan parlamentin ja neuvoston direktiivi (EU) 2016/680) asettamien yleisten edellytysten lisäksi erityisiä edellytyksiä tietojen luovuttamiselle. Ehdotetun lain mukaan matkustajarekisteritietojen käsittelyyn sovelletaan säädettävän lain lisäksi henkilötietojen käsittelystä rikosasioissa ja kansallisen turvallisuuden ylläpitämisen yhteydessä annettua lakia. Mainittua lakia sovelletaan soveltamisalallaan yleislakina, jota nyt säädettävä laki erityislakina täydentää. 

Matkustajarekisteritietoja on säilytettävä matkustajatietoyksikössä viisi vuotta. Kuuden kuukauden kuluttua tietojen matkustajatietoyksikölle toimittamisesta tiedoista on erotettava häivyttämällä sellaiset tiedonosat, joiden avulla voisi olla mahdollista tunnistaa välittömästi matkustaja, johon tiedot liittyvät. Tämän kuuden kuukauden jälkeen yksittäiset matkustajarekisteritiedot häivytetyt tiedonosat mukaan lukien saa luovuttaa vain poliisilta, Tullilta, Rajavartiolaitokselta, toisen jäsenvaltion matkustajatietoyksiköltä tai tämän toimivaltaiselta viranomaiselta tai Europolilta tulleen perustellun pyynnön johdosta ja päällystöön kuuluvan poliisimiehen suostumuksella. 

Matkustajarekisteritietojen käsittely

Hallintovaliokunta toteaa, että matkustajarekisteridirektiivi edellyttää rekisterin perustamista matkustajarekisteritietojen säilyttämiseksi, eikä jäsenvaltioilla ole tältä osin kansallista liikkumavaraa. Rekisterinpitäjänä Suomessa toimii ehdotuksen mukaan Poliisihallitus, joka nimeää direktiivin edellyttämän tietosuojavastaavan. Tietosuojavastaava vastaa matkustajarekisteritietojen käytön valvonnasta ja tietosuojaan liittyvien toimenpiteiden täytäntöönpanosta matkustajatietoyksikössä.  

Perustuslakivaliokunta on lausunnossaan (PeVL 29/2018 vp) todennut, että lakiehdotukset voidaan käsitellä tavallisen lain säätämisjärjestyksessä. Perustuslakivaliokunnan mielestä hallituksen esityksen taustalla on hyväksyttävä tarkoitus. Erityisesti terrorismin ja vakavien rikosten torjuntaa voidaan pitää sellaisena painavana intressinä, jonka perusteella tapahtuvaa henkilötietojen käsittelyä ja yksityiselämän suojan rajoituksia voidaan pitää sinänsä tarkoitukseltaan hyväksyttävinä. 

Matkustajatietoyksikkö voi matkustajarekisteridirektiivin 6 artiklan 3 a alakohdan mukaan verrata matkustajarekisterin tietoja terrorismirikosten tai vakavan rikollisuuden ennalta estämisen, paljastamisen, tutkinnan sekä tällaisiin rikoksiin liittyvien syytetoimien kannalta olennaisiin tietokantoihin, kuten etsittyjä ja kuulutuksen kohteina olevia henkilöitä tai esineitä koskeviin tietokantoihin. Vertaaminen tulee tehdä tällaisiin tietokantoihin sovellettavien unionin, kansainvälisten ja kansallisten sääntöjen mukaisesti. Direktiivi jättää näin ollen kansalliselle lainsäätäjälle liikkumavaraa siltä osin, mitkä katsotaan direktiivissä tarkoitetuiksi tietokannoiksi, joihin matkustajarekisteritietoja on vertailtava. Perustuslakivaliokunnan lausunnosta ilmenee, että kansallista liikkumavaraa on selostettu hallituksen esityksessä riittävällä tavalla. Hallintovaliokunta pitää tärkeänä, että matkustajatietoyksikkö voi verrata sille toimitettuja matkustajarekisteritietoja riittävän laajasti erilaisiin taustarekistereihin direktiivissä säädetyin edellytyksin. Valiokunta korostaa hiljattain uudistuneen EU:n tietosuojalainsäädännön merkitystä henkilötietojen käsittelyssä. 

Matkustajarekisteritietojen käsittelyä koskevan 1. lakiehdotuksen 7 §:n sääntely mahdollistaa perustuslakivaliokunnan käsityksen mukaan hyvin laajan ja automatisoidun vertailun matkustajarekisterin ja muiden viranomaisrekistereiden välillä. Matkustajatietoihin ei sinänsä vaikuttaisi sisältyvän arkaluonteisia tietoja, jotka loisivat erityisen korostuneen tarpeen suojata järjestelmään talletettavat henkilötiedot väärinkäytöltä. Henkilötietojen käytön on kuitenkin oltava rikosasioiden tietosuojadirektiivinkin mukaan tarpeellista. Perustuslakivaliokunnan mielestä hallintovaliokunnan on kuitenkin tarkoin selvitettävä ja arvioitava kunkin 7 §:ssä mainitun rekisterin, jonka tietoihin matkustajatietoyksikkö voi verrata matkustajarekisteritietoja automatisoidusti, hyödynnettävyyden välttämättömyyttä.  

Hallintovaliokunta tähdentää, että direktiivin mukaisesti kerättyjä matkustajarekisteritietoja saa direktiivin 1 artiklan 2 kohdan mukaan käsitellä vain terrorismirikosten ja vakavan rikollisuuden ennalta estämistä, paljastamista, tutkintaa ja tällaisiin rikoksiin liittyviä syytetoimia varten. Tietojen käsittelyä koskevat säännökset ovat direktiivin 6 artiklassa. Matkustajarekisteritietojen käsittelystä ehdotetaan säädettäväksi 1. lakiehdotuksen 7 §:ssä. Matkustajatietoyksikkö saa käsitellä matkustajarekisteritietoja ennen matkustajien aikataulun mukaista saapumista tai lähtemistä ennalta määriteltyjen arviointikriteerien mukaisesti sekä näiden kriteerien päivittämiseksi tai uusien kriteerien määrittelemiseksi. Valiokunta ehdottaa yksityiskohtaisista perusteluista ilmenevin tavoin 7 §:n 1 momentin sanamuodon täsmentämistä vastaamaan tarkemmin direktiivin 6 artiklan sääntelyä tietojen käsittelystä.  

Hallituksen esityksessä (1. lakiehdotuksen 7 §:n 3 momentti) ehdotetaan, että matkustajatietoyksikkö voi matkustajarekisteritietojen käsittelyn yhteydessä verrata matkustajarekisteritietoja automatisoidusti henkilötietojen käsittelystä poliisitoimessa (1—3 kohta), henkilötietojen käsittelystä Rajavartiolaitoksessa (4 kohta) ja henkilötietojen käsittelystä Tullissa (5 kohta) annettujen lakien kussakin kohdassa erikseen viitatuissa lainkohdissa tarkoitettuihin tietoihin. Mainittujen lakien muuttamista koskevat hallituksen esitykset ovat parhaillaan eduskunnan käsiteltävänä. Valiokunta ehdottaa yksityiskohtaisista perusteluista ilmenevin tavoin mainittujen viittausten päivittämistä viittauksiksi valiokunnan käsiteltävänä olevien uusien lakien vastaaviin säännöksiin.  

Valiokunta toteaa, että lakiehdotuksen 7 §:n 3 momentin 1—5 kohdassa sekä 10 ja 11 kohdassa tarkoitetut tietokannat on perustettu PTR-viranomaisten perustehtävän hoitamista varten. Tähän perustehtävään kuuluvat olennaisena osana poliisin, Rajavartiolaitoksen ja Tullin rikostorjuntatehtävät. Valiokunta pitää hallituksen esityksen ja sen taustalla olevan direktiivin tarkoituksen kannalta välttämättömänä, että matkustajarekisteritietoja voidaan verrata ehdotetulla tavalla näihin tietokantoihin. 

Myös lakiehdotuksen 7 §:n 3 momentin 7—9 kohdassa tarkoitetut ajoneuvoja ja vesikulkuneuvoja koskevat rekisterit ja väestötietojärjestelmän sekä 6 kohdassa tarkoitetun ulkomaalaisrekisterin sisältämän tietosisällön hyödyntäminen on valiokunnan käsityksen mukaan olennaista direktiivissä tarkoitetun rikollisuuden ehkäisyssä. Valiokunta kiinnittää kuitenkin huomiota siihen, että erityisesti matkustajarekisteritietojen vertailu mainittuihin hallinnollisiin rekistereihin laajentaa tietojen käyttöä nykyisestä. Näitä tietokantoja ei ole perustettu rikostorjuntatarkoituksessa. Näin ollen henkilötietojen käsittelytarkoituksen voidaan katsoa muuttuvan alkuperäisestä. Valiokunta toteaa myös, että muu kuin alkuperäinen käsittelytarkoitus ei saa muodostua rekisterin pääasialliseksi tai merkittäväksi käyttötavaksi. 

Valiokunta painottaa, että matkustajarekisteritietojen suunnitelmallisen ja tehokkaan käsittelyn avulla voidaan paljastaa ja tunnistaa sellaisia henkilöitä ja verkostoja, joiden yhteyttä terrorismiin tai vakavaan rikollisuuteen ei muutoin kyetä paljastamaan. Saadun selvityksen mukaan esimerkiksi ajoneuvoja ja vesikulkuneuvoja koskevilla rekisteritiedoilla tai ulkomaalaisrekisterin tiedolla voi olla tässä olennainen merkitys. Matkustajarekisteritietoja muihin tietokantoihin vertailtaessa ei harkita esitutkinnan aloittamista, eikä ole etukäteen tiedossa, mistä tietokannasta olennainen tieto yhteyden paljastamiseksi löytyy. Matkustajatietoyksikkö analysoi vertailussa saamansa tiedot ja arvioi tapauskohtaisesti, onko perusteita toimittaa tiedot toimivaltaiselle viranomaiselle lisätutkimuksia varten. Tietojen käsittely on rajattu sellaisten henkilöiden tunnistamiseen, joilla saattaa olla osallisuutta terrorismirikokseen tai vakavaan rikollisuuteen. Valiokunta korostaa, että ehdotetun 7 §:n 4 momentin mukaan matkustajarekisteritietojen automaattisen käsittelyn tuloksena saadut osumat on tarkistettava yksittäin. 

Tietojen käsittelyä koskevaa sääntelyä on sovellettava välttämättömyyden, oikeasuhtaisuuden, yhdenvertaisuuden ja syrjimättömyyden vaatimukset huomioiden. Valiokunta toteaa, että matkustajarekisteritiedot eivät lähtökohtaisesti sisällä EU:n tietosuojalainsäädännössä määriteltyjä erityisiin henkilötietoryhmiin kuuluvia tietoja. Jos liikenteen harjoittaja tällaisia matkustajatietoyksikölle toimittaa, ne on lakiehdotuksen 12 §:n 3 momentin mukaan poistettava välittömästi. Valiokunta ehdottaa 1. lakiehdotuksen 7 §:ään lisättäväksi uuden 6 momentin, jossa säädetään direktiivin mukaisesti siitä, ettei matkustajatietoyksikkö saa käsitellä erityisiin henkilötietoryhmiin kuuluvia tietoja. Lisäksi yksityiskohtaisista perusteluista ilmenee, että valiokunta pitää henkilötietojen käsittelystä rikosasioissa ja kansallisen turvallisuuden ylläpitämisen yhteydessä annetun lain 24 §:n mukaista rekisteröidyn tarkastusoikeuden rajoittamista riittävänä myös matkustajarekisteritietojen käsittelyn tuloksia koskevien tietojen osalta.  

Valiokunnan asiantuntijakuulemisessa on noussut esiin tarve vertailla matkustajarekisteritietoja ehdotettujen tietokantojen lisäksi rahanpesun selvittelykeskuksesta annetun lain (445/2017) 3 §:ssä tarkoitetun rahanpesun ja terrorismin rahoittamisen estämistä, paljastamista ja selvittämistä koskevan rekisterin (rahapesurekisteri) tietoihin. Saadun selvityksen mukaan komissio on omassa analyysissään todennut, että matkustajarekisteritietojen analysointi voi antaa selvemmän kuvan rikollisten käyttämien toimintatapojen kehityksestä, esimerkiksi huumausaineiden salakuljetusreiteistä tai rahanpesusta. Rahanpesurekisteri on keskeinen tietokanta terrorismin rahoittamisen estämisessä ja paljastamisessa. Valiokunta pitää tärkeänä selvittää, onko jatkossa syytä mahdollistaa matkustajarekisteritietojen vertaaminen myös rahanpesurekisterin sisältämiin tietoihin. 

Arviointikriteerit

Direktiivin 6 artiklan 3 kohdan a alakohdan mukaan matkustajatietoyksikkö voi matkustajien arviointia toteuttaessaan käsitellä matkustajarekisteritietoja ennalta määriteltyjen kriteerien mukaisesti. Lakiehdotuksen 7 §:n 2 momentin mukaan matkustajatietoyksikkö vahvistaa arviointi- ja analysointikriteerit ja tarkistaa ne säännöllisesti yhdessä toimivaltaisen viranomaisen kanssa. 

Perustuslakivaliokunnan mielestä hallintovaliokunnan on syytä täsmentää arviointi- ja analysointikriteerien sääntelyä. Hallintovaliokunnan on perustuslain 12 §:n 2 momentista ja 21 §:stä johtuvista syistä tarkasteltava huolellisesti myös ehdotettujen kriteerien ja niitä mahdollisesti soveltavien automatisoitujen menettelyjen algoritmien suhdetta viranomaisten toiminnan julkisuudesta annettuun lakiin ja tarvittaessa selkeytettävä sääntelyä.  

Hallintovaliokunta korostaa, että arviointikriteerien on lakiehdotuksen mukaan oltava kohdennettuja, oikeasuhtaisia ja selkeitä siten, etteivät viranomaiset tarpeettomasti käsittele rekisteröityjen henkilötietoja. Arviointikriteerit eivät saa perustua henkilön rotuun tai etniseen alkuperään, poliittisiin mielipiteisiin, uskonnolliseen tai filosofiseen vakaumukseen, ammattiliiton jäsenyyteen eivätkä terveydentilaa, sukupuolielämää tai sukupuolista suuntautuneisuutta koskeviin tietoihin. Arviointikriteerit eivät näin ollen saa perustua syrjintäkiellon vastaiseen perusteeseen. Rajaus perustuu perustuslain 6 §:n lisäksi rikosasioiden tietosuojadirektiivin 11 artiklan 3 kohdan mukaiseen velvollisuuteen varmistaa, että profilointi ei johda syrjintään. Perustuslakivaliokunta on pitänyt sääntelyä tältä osin asianmukaisena. 

Lentoliikenteen harjoittajat toimittavat matkustajatietoyksikölle matkustajarekisteritiedot kaikista matkustajista. Suurin osa matkustajista on luonnollisesti sellaisia, joihin ei kohdistu mitään rikosepäilyjä. Hallituksen esityksen perustelujen mukaan tietojen arviointikriteereiksi on tarkoitus luoda matkustusmalleja, joiden avulla analysoidaan tavanomaisesta poikkeavia toimintoja. Esimerkkeinä tällaisista mainitaan käteismaksu viime hetken varauksen yhteydessä ja se, että matkustajalla ei ole matkatavaroita. Direktiivin mukaan arviointiperusteet on määriteltävä niin, että järjestelmä yksilöi mahdollisimman vähän viattomia henkilöitä. Valiokunta arvioi, että arviointikriteerien toteuttaminen ja toiminnan valvonta tulee vaatimaan paljon kehittämistyötä. 

Valiokunta toteaa, että poliisin, Rajavartiolaitoksen ja Tullin taktisia ja teknisiä menetelmiä ja suunnitelmia koskevia tietoja sisältävät asiakirjat ovat viranomaisten toiminnan julkisuudesta annetun lain 24 §:n 1 momentin 5 kohdan mukaan salassa pidettäviä, jos tiedon antaminen niistä vaarantaisi rikosten ehkäisemistä ja selvittämistä tai yleisen järjestyksen ja turvallisuuden ylläpitämistä. Saadun selvityksen mukaan kohdevalintasäännöt ja analyysi- ja arviointikriteerit ovat edellä mainitussa lainkohdassa tarkoitettuja taktisia ja teknisiä menetelmiä ja näin ollen salassa pidettäviä.  

Valiokunta ehdottaa yksityiskohtaisista perusteluista ilmenevin tavoin myös 1. lakiehdotuksen 7 §:n 2 momentin säännöksen selkeyttämistä. 

Seuraamusmaksu

Jäsenvaltioiden on direktiivin 14 artiklan mukaan annettava säännöt direktiivin rikkomiseen sovellettavista seuraamuksista, jotka ovat tehokkaita, oikeasuhteisia ja varoittavia. Tämän velvoitteen toteuttamiseksi ehdotetaan seuraamuksena seuraamusmaksua, joka on luonteeltaan hallinnollinen rangaistusseuraamus. Valiokunta pitää seuraamusta riittävän tehokkaana ja varoittavana.  

Lentoliikenteen harjoittajalle, joka rikkoo matkustajarekisteritietojen toimittamisvelvollisuuden, määrätään kiinteämääräinen 3 000 euron seuraamusmaksu. Seuraamusmaksun määrääminen ei kuitenkaan ole automaattista, joten kyseessä ei ole ankara vastuu. Valiokunta painottaa, että arvioitaessa seuraamusmaksun määräämisen edellytyksiä on otettava huomioon, johtuuko virhe matkustajarekisteritietojen toimittamisessa olosuhteet huomioon ottaen anteeksi annettavasta huomaamattomuudesta tai onko maksun määrääminen olosuhteet huomioon ottaen kohtuutonta.  

Hallinnollinen taakka ja viranomaisten resurssit

Valiokunta pitää tärkeänä, että matkustajarekisteritietojen toimittamisessa omaksutaan mahdollisimman yhdenmukaiset toimintamallit, jotta lentoyhtiöille ei aiheudu tietojen toimittamisesta kohtuutonta hallinnollista taakkaa. Lisäksi valiokunta toteaa, että PTR-viranomaisille ja tietosuojavaltuutetun toimistolle on varattava riittävät resurssit tehtäviensä hoitamiseen.