Motivering

Tilläggsprotokollet till dataskyddskonventionen

Europarådets konvention om skydd för enskilda vid automatisk databehandling av personuppgifter, nedan konventionen, ingicks i Strasbourg 1981 och trädde i kraft för Finlands del i april 1992. Konventionens syfte är att inom varje parts territorium för var och en säkerställa respekten för grundläggande fri- och rättigheter, särskilt rätten till personlig integritet i samband med automatisk databehandling av personuppgifter som gäller honom eller henne. Förutom grundläggande principer för datasekretess innehåller konventionen bestämmelser om det gränsöverskridande flödet av personuppgifter mellan parterna och om ömsesidigt bistånd. Det aktuella tilläggsprotokollet har i sin tur bestämmelser om tillsynsmyndigheter och utförliga bestämmelser om överföring av personuppgifter till tredjeländer.

Enligt tilläggsprotokollet ska tillsynsmyndigheterna kontrollera att de åtgärder respekteras som inom den nationella lagstiftningen ger verkan åt bestämmelserna i tilläggsprotokollet och åt de grundläggande principer för datasekretess och de bestämmelser om internationellt dataflöde som ingår i konventionen. Tilläggsprotokollet innehåller också bestämmelser om överföring av personuppgifter till en mottagare som lyder under en stats eller en organisations jurisdiktion som inte är part i konventionen. Avsikten är att personuppgifter överförs endast till stater eller organisationer som kan garantera en adekvat datasekretess.

Bestämmelserna i tilläggsprotokollet motsvarar i det stora hela bestämmelserna i dataskyddsdirektivet (95/46/EG), som genomfördes i Finland genom personuppgiftslagen (). Godkännandet och ikraftsättandet av tilläggsprotokollet kräver inga ändringar i vår nationella lagstiftning.

Förklaringar till konventionen

Enligt artikel 3.1 i tilläggsprotokollet ska de materiella bestämmelserna i protokollet betraktas som ytterligare artiklar i konventionen. Regeringen föreslår att riksdagen godkänner att Finland avger två förklaringar till konventionen. Förklaringarna är tänkta att för Finlands vidkommande få konventionens tillämpningsområde att överensstämma med bestämmelserna om dataskyddsdirektivets och personuppgiftslagens tillämpningsområde.

Enligt 2 § 3 mom. i personuppgiftslagen gäller den lagen inte behandling av personuppgifter som en fysisk person utför uteslutande för personliga eller därmed jämförbara sedvanliga privata syften. En liknande bestämmelse finns i dataskyddsdirektivet. Finland har hittills inte avgett någon förklaring enligt artikel 3.2 i konventionen genom vilken konventionens tillämpningsområde utvidgas till att motsvara personuppgiftslagens och dataskyddsdirektivets tilllämpningsområde. Regeringen föreslår i propositionen att riksdagen godkänner en förklaring enligt vilken Finland inte kommer att tillämpa konventionen på behandling av personuppgifter som en fysisk person utför uteslutande för personliga eller därmed jämförbara sedvanliga privata syften.

I 2 § 2 mom. i personuppgiftslagen föreskrivs det att lagen inte bara tillämpas på automatisk behandling av personuppgifter utan också på annan behandling av personuppgifter då personuppgifterna utgör eller är avsedda att utgöra ett personregister eller en del av ett sådant. Dataskyddsdirektivet har en liknande regel. Artikel 3.2 i konventionen ger en part rätt att avge förklaring om att den inte kommer att tillämpa konventionen på vissa kategorier av automatiserade personregister eller att den ska tillämpa konventionen på vissa uppgifter eller personregister. Konventionen har på dessa punkter en snävare räckvidd än personuppgiftslagen och dataskyddsdirektivet. Regeringen föreslår därför att Finland avger en förklaring enligt vilken Finland kommer att tillämpa konventionen inte bara på automatisk behandling av personuppgifter utan också på annan behandling av personuppgifter då personuppgifterna utgör eller är avsedda att utgöra ett personregister eller en del av ett sådant.

Sammanfattning

Sammantaget sett anser utskottet propositionen vara behövlig och angelägen. Utskottet tillstyrker att de bestämmelser i tilläggsprotokollet till konventionen som hör till området för lagstiftning godkänns och att riksdagen ger sitt samtycke till att Finland avger de två förklaringar som framgår av propositionen.

Enligt 2 § i den föreslagna lagen om sättande i kraft av tilläggsprotokollet till Europarådets konvention om skydd för enskilda vid automatisk databehandling av personuppgifter bestäms det om lagens ikraftträdande genom förordning av republikens president. Utskottet noterar här att en ändring av grundlagens 95 § 1 mom. om sättande i kraft av internationella förpliktelser trädde i kraft den 1 mars i år (). Även bestämmelser i en internationell förpliktelse som inte hör till området för lagstiftning ska härefter sättas i kraft genom förordning av statsrådet. Utskottet föreslår därför följande precisering i 2 § i ikraftsättandelagen: "Om sättande i kraft av övriga bestämmelser i tilläggsprotokollet till konventionen och om ikraftträdandet av denna lag bestäms genom förordning av statsrådet."