2.1.1  Liikenne- ja viestintävirasto

Liikenne- ja viestintäviraston yleisistä tehtävistä säädetään Liikenne- ja viestintävirastosta annetun lain (935/2018) 2 §:ssä. Liikenne- ja viestintäviraston tehtävänä on muun muassa edistää liikenteen ja viestinnän turvallisuutta sekä alan teknistä kehitystä ja häiriöttömyyttä sekä huolehtia liikenteen ja sähköisen viestinnän sääntely-, lupa-, hyväksyntä-, rekisteri- ja valvontatehtävistä. Lisäksi viraston tehtävänä on huolehtia oman toimintansa varautumisesta normaaliolojen häiriötilanteisiin ja poikkeusoloihin, edistää ja valvoa sähköisen viestinnän toimintavarmuutta sekä tukea toimialallaan yhteiskunnan yleistä varautumista normaaliolojen häiriötilanteisiin ja poikkeusoloihin.  

Liikenne- ja viestintäviraston Kyberturvallisuuskeskuksen tehtävistä säädetään Liikenne- ja viestintävirastosta annetun lain 3 §:ssä. Kyberturvallisuuskeskuksen tehtävänä on tukea, ohjata ja valvoa tietoturvallisuutta ja yksityisuuden suojan toteutumista sähköisessä viestinnässä, ylläpitää kansallisen kyberturvallisuuden tilannekuvaa ja sen toimintaa sekä edistää ja varmistaa tietojärjestelmien ja tietoliikennejärjestelyiden tietoturvallisuutta. Kyberturvallisuuskeskus huolehtii viestintätoimialan varautumisesta normaaliolojen häiriötilanteisiin ja poikkeusoloihin, edistää ja valvoo sähköisen viestinnän toimintavarmuutta sekä tukee toimialallaan yhteiskunnan yleistä varautumista normaaliolojen häiriötilanteisiin ja poikkeusoloihin. Kyberturvallisuuskeskus toimii kansallisena NIS-koordinaatiopisteenä eri viranomaisten välillä. 

Liikenne- ja viestintäviraston erityisistä tehtävistä säädetään sähköisen viestinnän palveluista annetun lain (917/2014, jäljempänä SVPL) 304 §:ssä. Säännöksen 1 momentin 1, 7, 9 ja 10 kohtien nojalla Liikenne- ja viestintäviraston tehtävänä on edistää sähköisen viestinnän toimivuutta, häiriöttömyyttä ja turvallisuutta sekä kerätä tietoa verkkopalveluihin, viestintäpalveluihin, lisäarvopalveluihin sekä tietojärjestelmiin kohdistuvista tietoturvaloukkauksista ja niiden uhkista sekä viestintäverkkojen ja viestintäpalvelujen vika- ja häiriötilanteista. Erityisenä tehtävänä on lisäksi tiedottaa tietoturva-asioista sekä viestintäverkkojen ja viestintäpalvelujen toimivuudesta sekä selvittää radioviestinnän häiriön sekä radiolaitteen tai telepäätelaitteen viestintäverkolle, radiolaitteelle, telepäätelaitteelle tai sähkölaitteistolle aiheuttaman häiriön syitä. Lisäksi Liikenne- ja viestintäviraston tehtävänä on selvittää verkkopalveluihin, viestintäpalveluihin, lisäarvopalveluihin sekä tietojärjestelmiin kohdistuvia tietoturvaloukkauksia ja niiden uhkia. 

2.1.2  Poliisi

Poliisin tehtävänä on poliisilain (872/2011) 1 luvun 1 §:n mukaan oikeus- ja yhteiskuntajärjestyksen turvaaminen, kansallisen turvallisuuden suojaaminen, yleisen järjestyksen ja turvallisuuden ylläpitäminen sekä rikosten ennalta estäminen, paljastaminen, selvittäminen ja syyteharkintaan saattaminen. Poliisi tehtävänä on suorittaa myös muut sille laissa erikseen säädetyt tehtävät sekä antaa jokaiselle tehtäväpiiriinsä kuuluvaa apua. Poliisi tutkii tietoverkkorikoksia ja saamansa tiedon avulla pyrkii myös estämään ennalta mahdollisia tulevia rikoksia. Poliisi ylläpitää tietoverkkorikosten kansallista tilannekuvaa. 

2.1.3  Suojelupoliisi

Suojelupoliisin tehtävänä on ennaltaehkäistä ja torjua kaikkein vakavimpia kansallisen turvallisuuden uhkia, kuten terrorismia ja vieraiden valtioiden Suomeen kohdistamaa laitonta tiedustelua, kuten verkkotiedustelua. Sen tehtävänä on havaita, estää ja paljastaa sellaisia toimia, hankkeita ja rikoksia, jotka voivat uhata valtio- tai yhteiskuntajärjestystä tai Suomen sisäistä tai ulkoista turvallisuutta. Suojelupoliisi suorittaa poliisilain 5 a luvun 1 §:n mukaan tiedonhankintaa eli siviilitiedustelua muun muassa verkossa tapahtuvien kyberhyökkäysten taustojen ja motiivien selvittämiseksi kansallisen turvallisuuden suojaamiseksi, ylimmän valtiojohdon päätöksenteon tukemiseksi ja muiden viranomaisten lakisääteisiä kansalliseen turvallisuuteen liittyviä tehtäviä varten.  

2.1.4  Puolustusvoimat

Puolustusvoimista annetun lain (551/2007) 2 §:n mukaan Puolustusvoimien tehtävänä on muun muassa maa-alueiden, vesialueen ja ilmatilan valvominen sekä alueellisen koskemattomuuden turvaaminen. Edelleen Puolustusvoimien tehtävänä on kansan elinmahdollisuuksien, perusoikeuksien ja valtiojohdon toimintavapauden turvaaminen sekä laillisen yhteiskuntajärjestyksen turvaaminen. Lisäksi sen tehtävänä on muiden viranomaisten tukeminen, johon kuuluu esimerkiksi virka-apu yleisen järjestyksen ja turvallisuuden ylläpitämiseksi, terrorismirikosten estämiseksi ja keskeyttämiseksi sekä muuksi yhteiskunnan turvaamiseksi. Puolustusvoimat vastaa Suomen sotilaallisesta kyberpuolustuksesta osana kansallista kyberturvallisuutta. Puolustusvoimilla on velvollisuus torjua maanpuolustukseen ja puolustusjärjestelmään kohdistuva tietoverkkotiedustelu sekä kyberhyökkäykset etenkin silloin, kun kyseessä on valtiollinen toimija. 

Sotilastiedustelusta annetussa laissa (590/2019, jäljempänä sotilastiedustelulaki) säädetään Puolustusvoimien tiedustelutoiminnasta (sotilastiedustelusta), jonka tarkoituksena on hankkia ja käsitellä tietoa Suomeen kohdistuvasta tai Suomen turvallisuusympäristön kannalta merkityksellisestä sotilaallisesta toiminnasta, tuottaa tietoa ylimmälle valtiojohdolle päätöksenteon tukemiseksi vieraan valtion toiminnasta tai muusta toimista, jotka vakavasti uhkaavat Suomen maanpuolustusta tai vaarantaa yhteiskunnan elintärkeitä toimintoja. 

Sotilaskurinpidosta ja rikostorjunnasta puolustusvoimissa annetussa laissa (255/2014) säädetään Puolustusvoimien rikostorjunnasta, joka käsittää ennalta estämisen, paljastamisen ja sotilaskurinpitomenettelyyn kuuluvan rikosten selvittämisen. Lain 9 luvussa säädetään rikosten ennalta estämisen ja paljastamisen tehtävistä. Näitä ovat sotilaallisen maanpuolustuksen alalla Suomeen kohdistuvaan tiedustelutoimintaan ja sotilaallisen maanpuolustuksen tarkoitusta vaarantavaan toimintaan liittyvien rikosten ennalta estäminen ja paljastaminen. Kyseeseen voivat maanpuolustuksen alalla tulla esimerkiksi sellaiset hankkeet tai rikokset, jotka voivat uhata valtio- tai yhteiskuntajärjestystä tai Suomen ulkoista tai sisäistä turvallisuutta, kuten maanpetos, valtiopetos, vakoilu tai luvaton tiedustelutoiminta. 

2.1.5  Muita keskeisiä viranomaisia

Valtion yhteisten tieto- ja viestintäteknisten palvelujen tuottajan (Valtion tieto- ja viestintätekniikkakeskus Valtori, jatkossa Valtori) tehtävänä on valtion yhteisten tieto- ja viestintäteknisten palvelujen järjestämisestä annetun lain (1226/2013) nojalla tuottaa valtion yhteisiä perustekniikkapalveluja sekä yhteisiä tietotekniikkapalveluja, joita valtion virastoilla ja laitoksilla on lähtökohtaisesti velvollisuus käyttää. Valtorilla on velvollisuus huolehtia siitä, että toiminta ja palvelujen tuotanto jatkuvat mahdollisimman häiriöttömästi normaaliolojen häiriötilanteissa sekä poikkeusoloissa.  

Viranomaisten turvallisuusverkkotoiminnasta säädetään julkisen hallinnon turvallisuusverkkotoiminnasta annetussa laissa (10/2015, jäljempänä TUVE-laki). Turvallisuusverkko on valtion omistuksessa ja hallinnassa oleva viranomaisverkko, johon kuuluu viestintäverkko, siihen liittyvät laitetilat ja laitteet sekä yhteiset tieto- ja viestintätekniset palvelut. Turvallisuusverkko täyttää korkean varautumisen ja turvallisuuden vaatimukset siten kuin siitä laissa erikseen säädetään tai lain nojalla määrätään. Turvallisuusverkolla mahdollistetaan jokapäiväinen työskentely sekä operatiivisessa toiminnassa että hallinnollisissa tehtävissä. Turvallisuusverkon verkko- ja infrastruktuuripalveluja tuottaa valtion omistama Suomen Erillisverkot Oy, joka tuottaa myös TUVE-lain mukaisia viranomaisradioverkon sekä viranomaisten aikakriittisen laajakaistaisen matkaviestinnän tieto- ja viestintäpalveluja. Valtori tuottaa turvallisuusverkon muita tieto- ja viestintäteknisiä palveluja sekä integraatiopalveluja. Turvallisuusverkon palveluja tuottaville palveluntuottajille on TUVE-laissa asetettu vaatimukseksi vastata tehtäväalueellaan turvallisuusverkkoa koskevien turvallisuus-, valmius-, varautumis- ja jatkuvuusvaatimusten toteuttamisesta normaalioloissa ja niiden häiriötilanteissa sekä poikkeusoloissa. Turvallisuusverkon palvelut ovat keskeisiä viranomaisten kesken vaihdettavan tiedon välityksessä myös tietoturvaloukkausten häiriötilanteissa. 

NIS-direktiivin mukaista tietoturvaloukkausten valvontaa tekevät kansallisesti useat eri sektoriviranomaiset. Voimassa olevan NIS-direktiivin valvontaviranomaisia ovat liikenteen (ilmailu, merenkulku, tieliikenne, raideliikenne) ja digitaalisen infrastruktuurin sekä digitaalisten palveluiden osalta Liikenne- ja viestintävirasto, energiasektorin osalta Energiavirasto, terveydenhuoltoalalta Valvira, finanssisektorilla Finanssivalvonta ja vesihuollon osalta ELY-keskus sekä maa- ja metsätalousministeriö. Jokainen NIS-viranomainen vastaa oman toimialansa merkittäviä tietoturvaloukkauksia koskevien ilmoitusten vastaanottamisesta. Ilmoitustavasta riippuen nämä ilmoitukset eivät välttämättä mene automaattisesti Kyberturvallisuuskeskukselle ilman erillistä ilmoitusta. 

Valtioneuvoston ohjesäännön (262/2003) 12 §:n 7 kohdan mukaan valtioneuvoston kanslian toimialaan kuuluu valtioneuvoston yhteinen tilannekuva, varautuminen ja turvallisuus sekä häiriötilanteiden hallinnan yleinen yhteensovittaminen. Laissa säädetään valtioneuvoston tilannekeskuksen tehtävistä ja viranomaisten välisestä tiedonvaihdosta. Valtioneuvoston tilannekeskuksesta annetun lain (300/2017) 1 §:n mukaan valtioneuvoston tilannekeskuksen tehtävänä on tasavallan presidentin ja valtioneuvoston päätöksenteon ja toiminnan tueksi koota ja analysoida tietoa turvallisuustilanteesta ja sellaisista häiriöistä ja niiden uhista, jotka vaarantavat yhteiskunnan elintärkeitä toimintoja, hoitaa ja koordinoida tilannekuvan ylläpitämiseen, kokoamiseen, yhteensovittamiseen ja välittämiseen liittyviä poikkihallinnollisia tehtäviä sekä jakaa yhteen sovitettua tietoa tasavallan presidentille, valtioneuvostolle ja muille viranomaisille. Lisäksi laissa säädetään ministeriöiden sekä hallinnonalan viraston ja laitoksen velvollisuudesta ilmoittaa onnettomuudesta, vaaratilanteesta, poikkeuksellisesta tapahtumasta tai muusta vastaavasta häiriöstä tilannekeskukselle sekä tilannekeskuksen tiedonsaantioikeudesta sekä salassa pidettävän tiedon luovuttamisesta. 

Valtioneuvoston tilannekeskus tuottaa reaaliaikaista turvallisuustapahtumatietoa ja toimivaltaisten viranomaisten tiedoista koottua tilannekuvaa. Tilannekeskus yhdistää eri viranomaisilta ja avoimista lähteistä saadut tiedot ja raportoi niiden pohjalta valtionjohdolle ja eri viranomaisille. Tähän kuuluu myös kyberturvallisuuden tilannekuvan kokoaminen.  

2.1.6  Viranomaisten tehtävien arviointi

Edellä esitetyn perusteella voidaan todeta, että kyberturvallisuuden alueella toimivia viranomaisia on useita ja tehtävät ovat jossain määrin limittäisiä. Usean viranomaisen toimintaan liittyy esimerkiksi tietoturvaloukkausten selvittämiseen liittyviä toimintoja, mutta tehtävistä johtuen selvittämisen tavoite ja tarkoitus poikkeavat toisistaan. Liikenne- ja viestintäviraston tarkoituksena on selvittää tietoturvaloukkauksia erityisesti tekniseltä kannalta, turvata siten viestinnän luottamuksellisuutta ja myös ennaltaehkäistä uusia hyökkäyksiä. Poliisin tietoturvaloukkausten selvittämiseen liittyvät intressit liittyvät rikosten ennaltaehkäisyyn ja toisaalta rikoksentekijöiden rikosoikeudelliseen vastuuseen saattamiseen. Suojelupoliisin selvittämiseen liittyvät intressit liittyvät laajemmin kansallisen turvallisuuden turvaamiseen ja uhkakuvan muodostamiseen esimerkiksi valtiollisia toimijoita vastaan. Puolustusvoimat taas pyrkii selvittämällä turvaamaan maanpuolustukseen liittyvät toiminnot. Sotilastiedustelun tavoitteena on selvittää kyberhäiriöiden aiheuttaja erityisesti, jos kyse on sotilaallisesta toiminnasta sekä taustalla olevan toimijan tarkoitusperästä. Kyberhäiriöiden selvittämisen menetelmät ovat jokseenkin samanlaisia viranomaisesta riippumatta, jolloin tähän tarvittavia kyvykkyyksiä löytyy useammasta viranomaisesta. Toiminnan tavoite ja tarkoitus vain vaihtelevat. 

Toinen tehtävä, jossa viranomaisten tehtävissä on yhteneväisyyksiä, liittyy erilaisten tilannekuvien muodostamiseen. Liikenne- ja viestintäviraston tehtäviin kuuluu kyberturvallisuuden kansallisen tilannekuvan muodostaminen. Suojelupoliisi osaltaan tukee tätä tehtävää tuottamalla tietoa tilannekuvan muodostamiseksi. Toisaalta suojelupoliisin tehtävänä on myös muun tiedon tuottaminen esimerkiksi ylimmän valtionjohdon päätöksenteon tueksi. Puolustusvoimien sotilastiedustelutoiminnalla on vastaava tehtävä sotilaallisen toiminnan osalta. Poliisi ylläpitää kyberrikollisuuden tilannekuvaa. Tilannekuvaan liittyviä tehtäviä eri sektoreiden osalta liittyy myös eri NIS-sektoreiden valvontaviranomaisten tehtäviin, joiden tehtävänä on yleisesti valvoa tietyn sektorin toimintaa mukaan lukien niihin kohdistuvat tietoturvaloukkaukset. Valtori vastaa osaltaan julkisen sektorin järjestelmien toimivuudesta ja seuraa niiden toimintaa. Kokoavana tahona erilaiselle tilannekuvatiedolle on valtioneuvoston tilannekeskus, jonka tehtävänä on koota ja analysoida tietoa turvallisuustilanteesta ja häiriöistä sekä uhkista, jotka vaarantavat yhteiskunnan elintärkeitä toimintoja. Tilannekeskus jakaa tietoa edelleen ylimmän valtionjohdon päätöksentekoa varten. 

Tehtävissä on edellä esitetyn perusteella siten paljon yhtäläisyyksiä ja näiden tehtävien keskiössä on tieto, jonka perusteella toimenpiteitä viranomaisissa tehdään. Viranomaisilla on tehtäviensä luonteesta johtuen erilaiset keinot hankkia tietoa velvoitteidensa hoitamiseksi. Tehtävien tavoitteista johtuen niihin liittyy myös erilaisia rajoitteita ja reunaehtoja, jotka joissain tilanteissa muodostavat haasteita. Seuraavassa jaksossa eritellään tarkemmin viranomaisten tiedonvaihtoon liittyvää lainsäädäntöä ja siihen liittyviä rajoitteita. 

2.2.1  Liikenne- ja viestintävirasto

Sähköisen viestinnän palveluista annetun lain 315 §:ssä säädetään viranomaisten yleisestä tiedonsaantioikeudesta siten, että lain säännöksiä valvovilla viranomaisilla on lain mukaisia tehtäviä suorittaessaan oikeus saada tehtäviensä suorittamiseksi tarvittavat tiedot niiltä, joiden oikeuksista ja velvollisuuksista laissa säädetään. Lisäksi tietoja voidaan velvoittaa keräämään. Tiedot viesteistä, välitystiedoista ja sijaintitiedoista eivät sisälly yleiseen tiedonsaantioikeuteen. Laissa ei ole tarkemmin määritelty, keitä ne tahot ovat, joilta tietoja voidaan saada, mutta lain velvoitteet tai oikeudet on usein kohdistettu johonkin tiettyyn tahoon. Lain esitöiden mukaan tiedonsaantioikeus voi koskea periaatteessa ketä tahansa, jota laki koskee. 

Viestintää ja sijaintia koskevien tietojen käsittelystä ja hävittämisestä säädetään SVPL 316 §:ssä. Liikenne- ja viestintävirastolla on salassapitosäännösten tai muiden tietojen luovuttamista koskevien rajoitusten estämättä oikeus saada tarpeelliset välitystiedot ja sijaintitiedot vikatilanteiden tai häiriötilanteiden selvittämiseksi. Lisäksi virastolla on oikeus saada välitys- ja sijaintitiedot ja viestit, jos ne ovat tarpeen merkittävien tietoturvaloukkausten tai -uhkien selvittämiseksi. Tiedonsaantioikeuden edellytyksenä on lisäksi, että viraston arvion mukaan on syytä epäillä jonkun pykälässä mainitun rikoksen tunnusmerkistön täyttyvän. Säännöstä on käytännössä tulkittu siten, että oikeus saada viestintää ja sijaintia koskevia tietoja koskee samoja tahoja, joilta on oikeus saada muuta tietoa SVPL 315 §:n nojalla. 

Sähköisen viestinnän palveluista annetun lain 318 §:ssä säädetään tietojen luovuttamisesta viranomaisesta salassapitosäännösten estämättä. Liikenne- ja viestintävirasto voi luovuttaa tietoja Energiavirastolle, Finanssivalvonnalle, Valviralle sekä ELY-keskukselle eli NIS-viranomaisille, jos se on niille säädettyjen tietoturvallisuuteen liittyvien tehtävien hoitamiseksi välttämätöntä. Liikenne- ja viestintävirastolla on lisäksi oikeus luovuttaa salassa pidettäviä asiakirjoja tai tietoja valtiovarainministeriölle, jos se on viranomaisverkon ja viranomaisviestintään liittyvien verkko- ja viestintäpalvelujen tarjoamiseen liittyvien tehtäviensä hoitamiseksi välttämätöntä. Oikeus luovuttaa tietoja ei lain 318 §:n 5 momentin mukaan koske tietoja viesteistä, välitystiedoista, paikkatiedoista tai luottamuksellisen radiolähetyksen sisällöstä tai olemassaolosta.  

Lain 319 §:n 1 momentin mukaan Liikenne- ja viestintäviraston 316 ja 317 §:n nojalla saamat ja hankkimat tiedot viesteistä, välitystiedoista, sijaintitiedoista sekä luottamuksellisen radiolähetyksen sisällöstä ja olemassaolosta on pidettävä salassa. Tämän tai muiden tietojen luovuttamista koskevien rajoitusten estämättä Liikenne- ja viestintävirastolla on lain 319 §:n 2 momentin 1 kohdan mukaan oikeus luovuttaa tietoturvaloukkauksia koskevan tiedonkeruun ja selvittämisen yhteydessä saamiaan välitystietoja ja muita tietoja viestinnän välittäjälle, lisäarvopalvelun tarjoajalle, yhteisölle, tilaajalle ja käyttäjälle, jos sitä on käytetty hyväksi tietoturvaloukkauksessa, se on joutunut tietoturvaloukkauksen kohteeksi tai siihen todennäköisesti voi kohdistua tietoturvaloukkaus ja jos Liikenne- ja viestintäviraston arvion mukaan on syytä epäillä, että on tehty jokin SVPL 316 §:n 2 momentin 1–12 kohdassa mainittu rikos. Lisäksi tietoa voidaan luovuttaa muussa valtiossa toimivalle viranomaiselle tai vastaavalle taholle, jonka tehtävänä on ennalta ehkäistä tai selvittää viestintäverkkoihin ja -palveluihin kohdistuvia tietoturvaloukkauksia. Tämä määrittely tulee tehdä yhteistyössä liikenne- ja viestintäministeriön kanssa. Tiedot voidaan luovuttaa vain välttämättömässä laajuudessa. Huomionarvoista on, että lain nykymuotoilu ei mahdollista tiedon luovuttamista esimerkiksi EU:lle tai Natolle. 

SVPL 322 §:n mukaan poliisin oikeudesta saada välitystietoja rikosten ennalta estämiseksi, paljastamiseksi ja selvittämiseksi säädetään poliisilaissa ja pakkokeinolaissa (806/2011, jäljempänä PakkokeinoL). Rajavartiolaitoksen ja Tullin rikostorjuntatoiminnan osalta säännökset ovat omissa säädöksissään. 

Tällä hetkellä SVPL 275 §:ssä säädetään teleyrityksen ilmoitusvelvollisuudesta, jos sen palveluun kohdistuu tai sitä uhkaa merkittävä tietoturvaloukkaus tai muu tapahtuma, joka estää viestintäpalvelun toimivuuden tai häiritsee sitä olennaisesti. Vastaavasti SVPL 316 §:n 2 momentin nojalla Liikenne- ja viestintävirastolla on oikeus pyytää tietoonsa tulleeseen tietoturvaloukkaukseen liittyvät tiedot. Sääntelyyn liittyy kuitenkin epäselvyys sen suhteen, voivatko teleyritykset ja muut viestinnän välittäjät vapaaehtoisesti ja oma-aloitteisesti luovuttaa tietoturvaloukkauksiin liittyviä välitystietoja ja tietoja viesteistä virastolle, jos loukkaus ei muutoin tulisi viraston tietoon. Liikenne- ja viestintäviraston tehtävänä on tietoturvaloukkausten selvittäminen, mutta SVPL 137 §:n 2 momentin mukaan sähköisiä viestejä ja välitystietoja on sallittua luovuttaa ainoastaan niille tahoille, joilla on oikeus käsitellä tietoja asianomaisessa tilanteessa. SVPL 304 §:ssä säädetyn tehtävän ei kuitenkaan tulkita sellaisenaan muodostavan käsittelyperustetta välitystiedoille ja viestinnän sisällölle, jolloin on epäselvää, mihin tietojen luovuttaminen Liikenne- ja viestintävirastolle viestinnän välittäjän loukkausta selvitettäessä voisi perustua tilanteessa, jossa luovutus tapahtuisi oma-aloitteisesti ja jossa 275 § ei sovellu tai ei edellyttäisi viestintää koskevien tietojen antamista. 

Liikenne- ja viestintävirastolla on edellä kuvatun perusteella laajat tiedonsaantioikeudet valvontaoikeuksiinsa perustuen. Tiedonsaantioikeus viesteistä, välitystiedoista ja sijaintitiedoista on kuitenkin rajatumpi. Näihinkin tietoihin virastolla on lakisääteinen saantioikeus tietoturvaloukkaustilanteissa. Edellä mainitun lisäksi virastolle tehdään huomattava määrä yksityisten toimijoiden toimesta myös vapaaehtoisuuteen perustuvia tietoturvaloukkausilmoituksia, jotka voivat sisältää tietoturvaloukkauksiin liittyviä erilaisia tietoja, kuten välitystietoja tai tietoja viestin sisällöstä. Tiedon luovuttamisesta edelleen on säädetty erikseen ja siihen liittyy jonkin verran rajoitteita erityisesti viestin sisältöä, välitystietoja ja sijaintitietoja koskien. Rajoitukset näihin tietoihin liittyen perustuvat perustuslaissa turvatun luottamuksellisen viestinnän suojaan. 

2.2.2  Poliisi

Poliisin toimintaan liittyvä lainsäädäntö on moninainen poliisin erilaisista tehtävistä johtuen. Poliisilaissa säädetään yleisesti poliisin toiminnasta, toimivaltuuksista ja lisäksi salaisista tiedonhankintakeinoista, joita poliisi voi käyttää rikosten ennalta estämiseksi ja paljastamiseksi. Poliisilaissa säädetään myös suojelupoliisin tehtäviin kuuluvasta siviilitiedustelusta, jota täydentää tietoliikennetiedustelusta siviilitiedustelussa annettu laki (582/2019). Esitutkintalakia (805/2011) sovelletaan rikosten esitutkintaan ja esitutkinnassa käytettyihin pakkokeinoihin ja tiedonhankintaan sovelletaan pakkokeinolakia. Henkilötietojen käsittelystä poliisitoimessa annetussa laissa (616/2019, jäljempänä poliisin henkilötietolaki) säädetään nimensä mukaisesti poliisin henkilötietojen käsittelystä. 

Poliisilain 4 luvussa säädetään poliisin tiedonsaantioikeudesta. Lain 4 luvun 2 §:n mukaan poliisilla on päällystöön kuuluvan poliisimiehen pyynnöstä oikeus saada viranomaiselta ja julkista tehtävää hoitavalta yhteisöltä tarpeelliset tiedot ja asiakirjat poliisille kuuluvan tehtävän hoitamiseksi, ellei kyseisten tietojen antaminen ole nimenomaisesti kielletty tai rajoitettu. SVPL 318 §:n 1–4 momentin tulkitaan olevan tällainen nimenomainen kielto, koska siinä säädetään niistä viranomaisista, joille tietoja saa luovuttaa, eikä poliisia ole tässä yhteydessä mainittu. Poliisilain esitöissä (HE 57/1994 vp, s. 67) todetaan, että pykälässä määritelty tietojensaantioikeus syrjäyttäisi muualla laissa säädetyt salassapitovelvollisuudet, ellei salassapitovelvollisuutta koskevassa säännöksessä nimenomaisesti kielletä tietojen luovuttaminen poliisille. Kielto voidaan ilmaista myös luettelemalla tietojensaantiin oikeutetut viranomaiset mainitsemassa poliisia niiden joukossa. Viestintää koskevien tietojen osalta tilanne on tällainen 319 §:n osalta lukuun ottamatta 4 momentissa tarkoitettua tilannetta, joka koskee välitystiedon antamista toiselle viranomaiselle, jos se on tarpeen radiohäiriön aiheuttamista koskevan rikoksen selvittämistä tai syytteeseen panoa varten taikka radioviestinnän häiriön poistamiseksi tai rajoittamiseksi. Lain 319 §:n 2 momentin nojalla poliisille voitaisiin muutoin luovuttaa tietoa viesteistä, välitystiedoista, sijaintitiedoista ja radiolähetyksen sisällöstä ja olemassa olosta vain niissä tilanteessa, joissa poliisi olisi itse tietoturvaloukkauksen tai -uhkan kohteena. 

Poliisilain 4 luvun 3 §:ssä säädetään tietojen saannista yksityiseltä yhteisöltä tai henkilöltä rikosten estämiseksi tai selvittämiseksi. Poliisilla on oikeus saada tietoja yhteisön jäsentä, tilintarkastajaa, toimitusjohtajaa, hallituksen jäsentä tai työntekijää velvoittavan salassapitovelvoitteen estämättä. Säännös ei oikeuta saamaan välitystietoja tai tietoja viestin sisällöstä, koska näiden tietojen saantiin sisältyy erityisiä edellytyksiä poliisi- ja pakkokeinolaissa. 

Poliisilain 4 luvun 3 §:n 2 momentin mukaan poliisilla on yksittäistapauksissa oikeus saada teleyritykseltä tai yhteisötilaajalta yhteystiedot sellaisesta teleosoitteesta, jota ei mainita julkisessa luettelossa, taikka teleosoitteen tai telepäätelaitteen yksilöivät tiedot, jos tiedot ovat tarpeen poliisille kuuluvan tehtävän suorittamiseksi. Poliisin salaisen tiedonhankinnan (PolL 5 luku 61 §), Suojelupoliisin siviilitiedustelun (PolL 5a luku 51 §) ja salaisten pakkokeinojen (PakkokeinoL 10 luku 63 §) osalta säädetään yhtenevästi teleyrityksen avustamisvelvollisuudesta ja pääsystä eräisiin tietoihin. 

Viranomaisen salassa pidettävän tiedon luovuttamisen osalta peruslähtökohta on julkisuuslain säännöksissä. Käytännössä tämä edellyttää siten laissa erikseen säädettyä perustetta tiedon luovuttamiselle, mikä asettaa käytännössä haasteita, koska kaikkia luovutustilanteita on vaikea arvioida ennakolta. Tietoa voidaan kuitenkin luovuttaa julkisuuslain 17 §:n 3 momentin ja 26 §:n nojalla rajatulle piirille, kuten toiselle viranomaiselle julkisuuslain 24 §:n 1 momentin tiedon luovuttamista koskevien vahinkoedellytyslausekkeiden asettamissa rajoissa.  

Tiedon luovuttamisesta yksittäistapauksessa säädetään poliisilain 7 luvun 2 §:ssä. Pykälän mukaan poliisille säädetty vaitiolovelvollisuus ei estä tiedon antamista viranomaiselle, jolla on säädetyn tehtävänsä vuoksi tarve saada tieto muuten salassa pidettävästä seikasta. Tämä voi tarkoittaa esimerkiksi välitystietoa tai tietoa viestistä. Poliisilain esitöissä (HE 224/2010 vp s. 147) on todettu, että vaikka 7 luvun 2 §:n 1 momentin mukainen tietojen luovuttaminen tapahtuu yleensä toisen viranomaisen pyynnöstä, se ei kuitenkaan ole säännöksen soveltamisen edellytys. Esitöiden mukaan poliisille voi tulla eteen tilanteita, joissa myös tietojen oma-aloitteinen luovuttaminen toiselle viranomaiselle on tarpeen ja perusteltua. Myös oikeuskirjallisuudessa on poliisilain esitöihin viitaten katsottu, ettei toisen viranomaisen pyyntö ole poliisilain 7 luvun 2 §:n 1 momentissa tarkoitettujen tietojen välttämätön edellytys, vaan tietojen luovuttaminen voi tapahtua myös oma-aloitteisesti. Myös apulaisoikeusasiamies on katsonut (EOAK/3813/2017) poliisin oma-aloitteisen tietojen luovuttamisen olevan ilmeisen vakiintunut toimintatapa, jolle on nähtävissä perusteita 7 luvun 2 §:n säännöksestä ja lainkohdan esitöistä. Kuitenkin huomionarvoista on hovioikeuden ratkaisu HO 4.3.2021 nro 263, jossa hovioikeus toteaa, että poliisilain 7 luvun 2 § ei ole toimivaltasäännös, jonka nojalla poliisi voisi luovuttaa ulosottoviranomaiselle oma-aloitteisesti tietoja. Asia on parhaillaan korkeimman oikeuden ratkaistavana. Poliisilain tiedonluovuttamisen säännös on ensisijainen henkilötietojen käsittelystä poliisitoimesta annetun lain 22 §:ään nähden.  

Julkisuuslain 24 §:n 1 momentin 3 kohdassa säädetään poliisille muille esitutkintaviranomaisille ja syyttäjä sekä tarkastus- ja valvontaviranomaisille tehtyjen rikosilmoitusten, esitutkintaa ja syyteharkintaa varten saatujen ja laadittujen asiakirjojen salassapidosta. Kohdassa säädetyt tiedot ovat salassa pidettäviä, jollei ole ilmeistä, että tiedon antaminen niistä ei vaaranna rikoksen selvittämistä tai tutkinnan tarkoituksen toteutumista tai ilman painavaa syytä aiheuta asiaan osalliselle vahinkoa tai kärsimystä tai estä tuomioistuinta käyttämästä oikeuttaan määrätä asiakirjojen salassapidosta oikeuden käynnin julkisuudesta yleisissä tuomioistuimissa annetun lain mukaan. Esitutkintalain 2 luvun 2 §:n mukaan esitutkintaa johtaa tutkinnanjohtaja ja päättää näin ollen muun muassa esitutkinnan aikana tietojen luovuttamisesta. Esitutkintalain 11 luvun 7 §:ssä säädetään esitutkinnasta tiedottamisesta. 

Poliisi saa tietoja rikosten estämiseksi ja paljastamiseksi myös poliisilain 5 luvun mukaisilla salaisilla tiedonhankintakeinoilla ja esitutkintaa varten pakkokeinolain 10 luvussa tarkoitetuilla salaisilla pakkokeinoilla. Näitä keinoja ovat esimerkiksi telekuuntelu, televalvonta, tukiasematietojen hankkiminen sekä teleosoitteen ja telepäätelaitteen yksilöivien tietojen hankkiminen. Salaisten tiedonhankintakeinojen käytön edellytyksenä on, että sillä voidaan olettaa saatavan tarvittavia tietoja rikoksen estämiseksi tai paljastamiseksi taikka vaaran torjumiseksi. Salaisten pakkokeinojen käytön edellytyksenä on, että niiden käytöllä voidaan olettaa saatavan tarvittavia tietoja rikosten selvittämiseksi. Salaisella tiedonhankinnalla tai salaisilla pakkokeinoilla on oltava erittäin tärkeä merkitys rikosten selvittämiseen, ennaltaehkäisyyn tai paljastamiseen. Poliisilain 5 luvun 3 §:ssä on lueteltu rikokset, joiden selvittämiseen salaista tiedonhankintaa voidaan käyttää. Lupa salaiseen tiedonhankintaan ja salaisten pakkokeinojen käyttämiseen on haettava lähtökohtaisesti tuomioistuimelta. Joissakin kiireellisissä tilanteissa päätöksen voi tehdä väliaikaisesti myös pidättämiseen oikeutettu virkamies ennen kuin asiaan ehditään saada tuomioistuimen päätös.  

Salaisten tiedonhankintakeinojen osalta poliisilain 5 luvun 52 §:ssä säädetään, että salaisella tiedonhankintakeinolla saatuja tallenteita voi erillisellä päätöksellä tutkia muu henkilö kuin poliisi, jota käytetään apuna tiedonhankintaa toteutettaessa. Siviilitiedustelun osalta vastaava säännös on poliisilain 5 a luvun 43 §:ssä ja salaisten pakkokeinojen osalta pakkokeinolaissa lain 10 luvun 54 §:ssä.  

Suojelupoliisi saa tietoja poliisilain 5 a luvun mukaisilla tiedustelumenetelmillä, joka ovat vastaavia, mitä poliisin osalta on säädetty salaisista tiedonhankintakeinoista ja salaisista pakkokeinoista. Näiden keinojen käytön edellytyksenä on, että sen käyttäminen on välttämätöntä tärkeiden tietojen saamiseksi sellaisesta siviilitiedustelun kohteena olevasta toiminnasta, joka vakavasti uhkaa kansallista turvallisuutta. Tiedustelumenetelmien käytöstä päättää kyberympäristössä pääasiassa tuomioistuin. Joissakin kiireellisissä tilanteissa päätöksen voi tehdä väliaikaisesti myös suojelupoliisin päällikkö tai tiedustelumenetelmien käyttöön perehtynyt suojelupoliisin päällystöön kuuluva virkamies ennen kuin asiaan ehditään saada tuomioistuimen päätös. 

Poliisilain 5 a luvun 44 §:ssa säädetään siitä, missä tilanteissa suojelupoliisi ei saa ilmoittaa sekä missä tilanteessa sen on ilmoitettava tai missä tilanteissa se harkintansa mukaan saa ilmoittaa siviilitiedustelussa saadut tiedot keskusrikospoliisille. Sen lisäksi pykälässä säädetään ilmoittamisvelvollisuuksista vielä estettävissä olevan rikoksen osalta. Ilmoitusvelvollisuus tai -oikeus riippuu ilmi tulleen teon rangaistavuudesta. Tämä ilmoitus voidaan tehdään vain vakavimpien rikosten kohdalla. Lähtökohtaisesti tiedustelutoiminta on erotettu esitutkinnan tehtävistä ja näistä saadut tiedot pidetään erillään koska tiedustelumenetelmien käytön kynnys on alhaisempi kuin vastaavien menetelmien esitutkinnassa. Kyse on niin sanotusta palomuurisääntelystä.  

Poliisilain 5 a luvun 55 §:ssä säädetään suojelupoliisin yhteistyöstä muiden viranomaisten, yritysten ja yhteisöjen kanssa. Suojelupoliisin on tarpeen mukaan toimittava yhteistyössä muiden viranomaisten kanssa siviilitiedustelun tarkoituksenmukaiseksi hoitamiseksi. Kansallisen turvallisuuden suojaamiseksi siviilitiedustelutehtävää toteutettaessa suojelupoliisilla on lupa luovuttaa salassapitosäännöksen estämättä muita kuin henkilötietoja koskevia tietoja muille viranomaisille, mutta myös yrityksille sekä muille yhteisöille.  

Tietoliikennetiedustelusta siviilitiedustelussa annetun lain 14 §:ssä säädetään tietoliikennetiedustelun käytössä kertyneiden tallenteiden tutkimisesta. Vastaavalla tavalla kuin muussakin tiedustelussa, tallenteita saa tutkia vain tuomioistuin tai suojelupoliisin päällystöön kuuluva poliisimies taikka tiedusteluvalvontavaltuutettu tai hänen määräämänsä virkamies. Suojelupoliisin päällystöön kuuluvan poliisimiehen määräyksestä tai tuomioistuimen osoituksen mukaan tallennetta saa tutkia myös muu poliisimies, asiantuntija tai muu henkilö, jota käytetään apuna tiedonhankintaa toteutettaessa.  

Haitallista tietokoneohjelmaa tai käskyä koskevien tietojen luovuttamisesta viranomaiselle, yritykselle tai yhteisölle säädetään tietoliikennetiedustelusta siviilitiedustelussa annetun lain 16 §:ssä. Suojelupoliisi saa salassapitosäännösten estämättä luovuttaa tietoliikennetiedustelun avulla hankitun tiedon haitallisesta tietokoneohjelmasta tai käskystä viranomaiselle, yritykselle tai yhteisölle, jos tiedon luovuttaminen on tarpeen kansallisen turvallisuuden suojaamiseksi tai tiedon saajan etujen turvaamiseksi. Tiedon luovuttamisesta rikostorjuntaan sovelletaan, mitä poliisilaissa asiasta säädetään. 

Henkilötietojen käsittelystä poliisitoimesta annetun lain 22 §:ssä säädetään muusta henkilötietojen luovuttamisesta viranomaisille. Lain 5–8, 11 ja 12 §:ssä tarkoitettuja tietoja, kuten poliisin tehtävään, toimenpiteeseen ja tapahtumaan liittyvät yksilöintiä, kuvauksia ja luokituksia koskevia tietoja voidaan luovuttaa 22 §:n 1 momentin alakohdissa määritellyille viranomaisille. Lista ei kuitenkaan ole merkityksellinen kyberhäiriötilanteiden selvittämisen kannalta, vaan niiden osalta on sovellettava 22 §:n 3 momenttia, jonka mukaan poliisi saa perustellusta syystä luovuttaa salassapitosäännösten estämättä teknisen käyttöyhteyden avulla tai tietojoukkona viranomaiselle henkilötietoja, jotka ovat välttämättömiä viranomaisen laissa säädetyn tehtävän suorittamiseksi. Tiedon luovuttamisen edellytyksenä ovat siten välttämätön syy ja laissa säädetty tehtävä.  

Henkilötietojen käsittelystä poliisitoimessa annetun lain 21 §:n mukaan poliisi saa salassapitosäännösten estämättä luovuttaa laissa tarkoitettuja henkilötietoja muun muassa suojelupoliisille ja Puolustusvoimille henkilötietojen käsittelystä rikosasioissa ja kansallisen turvallisuuden ylläpitämisen yhteydessä annetun lain (1054/2018, jäljempänä rikosasioiden tietosuojalaki) 1 §:ssä tarkoitettua tehtävää varten. Näitä tehtäviä voivat olla esimerkiksi rikosten ennalta estäminen, paljastaminen, selvittäminen ja syyteharkinta. 

Poliisin laajasta tehtäväkentästä johtuen myös poliisin tiedonsaantioikeuksia ja tiedon luovutusta koskeva sääntely on melko monimutkainen. Poliisilla on yleisesti ottaen tehtävänsä hoitamiseksi laajat yleiset tiedonsaantioikeudet, joita täydentävät tilanteen niin edellyttäessä salaisia tiedonhankintakeinoja ja pakkokeinoja koskevat säännökset. Erityisiä rajoituksia poliisin tiedonsaantioikeuksiin liittyy Liikenne- ja viestintäviraston suunnalta viestintää koskevien tietojen osalta. Vastaavien tietojen hankkimiseksi poliisin tulisi normaaliolosuhteissa käyttää omia tiedonhankintakeinojaan, jotka edellyttävät tuomioistuimen kontrollia.  

Poliisin tiedon luovuttaminen perustuu yleisesti julkisuuslakiin, mutta myös poliisilain 7 luvun 2 §:n tiedonluovuttamista koskevaan säännökseen ja toisaalta poliisiin henkilötietolain henkilötietojen luovutusta koskevaan sääntelyyn. Esitutkinnan aikana tutkinnan johtaja harkitsee tapauskohtaisesti, mitä tietoa voidaan luovuttaa julkisuuslain 24 §:n 3 kohdan edellytysten nojalla. Lainsäädännössä on myös asetettu eräitä rajoituksia poliisiyksiköiden väliselle tiedonvaihdolle, mikä johtuu suojelupoliisin poikkeavasta roolista muussa poliisiorganisaatiossa. Kyse on lähinnä edellä kuvatusta niin sanotusta palomuurisääntelystä. 

2.2.3  Puolustusvoimat

Puolustusvoimilla on Puolustusvoimista annetun lain 17 §:n nojalla oikeus saada viranomaisilta sekä julkista tehtävää hoitavalta yhteisöltä sille säädetyn tehtävän hoitamiseksi välttämättömät tiedot ja asiakirjat, jollei niiden antamista Puolustusvoimille tai tietojen käyttöä todisteena Puolustusvoimissa ole laissa kielletty tai rajoitettu. Tiedon luovuttamiseen sovelletaan julkisuuslakia. 

Sotilastiedustelulain 17 §:n mukaan sotilastiedusteluviranomaisten on toimittava yhteistyössä suojelupoliisin kanssa tiedusteluviranomaisten tehtävien hoitamiseksi sekä annettava suojelupoliisille tarpeellisia tietoja salassapitovelvollisuuden estämättä. Lain 18 §:n mukaan sotilastiedusteluviranomaisten on tarpeen mukaan toimittava yhteistyössä muiden viranomaisten kanssa tiedustelun tarkoituksenmukaiseksi hoitamiseksi. Sotilastiedusteluviranomainen voi tehtävänsä toteuttamiseksi luovuttaa muille viranomaisille salassapitosäännösten estämättä muita tietoja kuin henkilötietoja, jos tietojen luovuttaminen on tarpeen maanpuolustuksen kannalta tai kansallisen turvallisuuden suojaamiseksi. Henkilötietojen luovuttamisesta säädetään erikseen.  

Lisäksi sotilastiedusteluviranomainen voi salassapitosäännösten estämättä tehtävänsä toteuttamiseksi luovuttaa yrityksille ja muille yhteisöille tiedustelun menetelmien ja järjestelmien kehittämiseksi haittaohjelmaan liittyvän tunnistamistiedon tai luovuttaa muun kuin henkilötiedon, jos tietojen luovuttaminen on välttämätöntä Puolustusvoimien toiminnan tai kansallisen turvallisuuden suojaamiseksi.  

Sotilastiedustelulain 74 §:n mukaan sotilastiedusteluviranomainen saa salassapitosäännösten estämättä luovuttaa tietoliikennetiedustelun avulla hankittuja tietoja haitallisesta tietokoneohjelmasta ja sen toiminnasta yritykselle, yhteisölle tai viranomaiselle, jos tietojen luovuttaminen on tarpeen sotilaallisen maanpuolustuksen kannalta, kansallisen turvallisuuden suojaamiseksi tai yrityksen tai yhteisön etujen turvaamiseksi. 

Sotilastiedustelulain 79 §:ssä säädetään rikosepäilystä ilmoittamisesta keskusrikospoliisille, jos tiedustelumenetelmän käytön aikana ilmenee, että voidaan olettaa tehdyksi rikos, josta säädetty ankarin rangaistus on vähintään kuusi vuotta vankeutta. Lisäksi ilmoituksen saa tehdä, jos ilmoituksella voidaan olettaa olevan erittäin tärkeä merkitys sellaisen rikoksen selvittämiselle, josta säädetty ankarin rangaistus on vähintään kolme vuotta vankeutta. Lisäksi lain 80 §:n mukaan sotilastiedusteluviranomaisen on viipymättä ilmoitettava toimivaltaiselle viranomaiselle, jos tiedustelutoiminnan aikana ilmenee sellainen, vielä estettävissä oleva rikos, josta säädetty ankarin rangaistus on vähintään kuusi vuotta ja ilmoituksen saa tehdä, jos ankarin rangaistus on vähintään kaksi vuotta. Kyse on vastaavanlaisesta palomuurisääntelystä, mitä aiemmin on esitetty suojelupoliisin ja keskusrikospoliisin välillä. 

Sotilastiedustelulain 111 §:ssä säädetään tiedustelumenetelmillä kertyneiden tallenteiden tutkimisesta. Tietoja saa tutkia vain tuomioistuin, pääesikunnan tiedustelupäällikkö, sotilastiedusteluviranomaisen tehtävään määrätty sotilaslakimies tai muu virkamies taikka tiedusteluvalvontavaltuutettu tai hänen määräämänsä virkamies. Pääesikunnan tiedustelupäällikön määräyksestä tai tuomioistuimen myöntämän luvan perusteella tallennetta saa tutkia muu kuin edellä mainittu virkamies, asiantuntija tai muu henkilö, jota käytetään apuna tiedonhankintaa toteutettaessa. 

Henkilötietojen käsittelystä Puolustusvoimissa annetun lain (332/2019, jäljempänä Puolustusvoimien henkilötietolaki) 29 §:n mukaan Puolustusvoimat saa salassapitosäännösten estämättä luovuttaa muulle viranomaiselle henkilötietoja, jos ne ovat tarpeen viranomaisen laissa säädetyn tehtävän hoitamiseksi. Pykälässä on listattu viranomaiset ja tehtävät, joiden hoitamiseksi tietoja voidaan luovuttaa. Tietoja voidaan luovuttaa ensinnäkin poliisille poliisilain 1 luvun 1 §:n 1 momentissa tarkoitettuja tehtäviä varten, jotka liittyvät oikeus- ja yhteiskuntajärjestyksen turvaamiseen, yleisen järjestyksen ja turvallisuuden ylläpitämiseen tai rikosten ennalta estämiseen, paljastamiseen, selvittämiseen ja syyteharkintaan saattamiseen. Lisäksi tietoja voidaan luovuttaa Liikenne- ja viestintäviraston Kyberturvallisuuskeskukselle sen tehtävien hoitamista varten siten, kun se on määritelty Liikenne- ja viestintävirastosta annetun lain 3 §:ssä. Tämä pitää sisällään esimerkiksi kansallisen tilannekuvan ylläpitämisen sekä tietojärjestelmien ja sähköisen viestinnän tietoturvallisuuden edistämisen. Pykälässä ei kuitenkaan täsmällisesti viitata kaikkiin SVPL 304 §:ssä säädettyihin erityisiin tehtäviin, joista Kyberturvallisuuskeskus käytännössä vastaa ja joihin kuuluu muun muassa selvittää verkkopalveluihin, viestintäpalveluihin, lisäarvopalveluihin sekä tietojärjestelmiin kohdistuvia tietoturvaloukkauksia ja niiden uhkia. 

Puolustusvoimat voi Puolustusvoimien henkilötietolain 30 §:n nojalla luovuttaa 29 §:n lisäksi yksittäisen tehtävän suorittamiseksi välttämättömiä tietoja viranomaiselle, jos on ilmeistä, ettei tiedon luovuttamisesta aiheudu olennaista haittaa niille eduille, jonka suojaamiseksi salassapitovelvollisuus on säädetty. 

Edellä mainittujen säädösten lisäksi tiedon luovuttamista koskevaa lainsäädäntöä sisältyy myös sotilaskurinpidosta ja rikostorjunnasta puolustusvoimissa annetun lain 92 ja 93 §:iin. Lain 92 §:n mukaan Puolustusvoimien rikosten ennalta estämistä ja paljastamista hoitavilla virkamiehillä on oikeus saada viranomaiselta sekä julkista tehtävää hoitamaan asetetulta yhteisöltä ja henkilöiltä lain 86 §:n 1 momentissa tarkoitetun tehtävän suorittamiseksi tarpeelliset tiedot ja asiakirjat maksutta ja salassapitosäännösten estämättä, jollei tiedon tai asiakirjan antamista pääesikunnalle tai tietojen käyttöä todisteena ole laissa kielletty tai rajoitettu. Lisäksi lain 93 §:ssä säädetään oikeudesta saada tietoja yksityiseltä henkilöltä. Puolustusvoimien rikosten ennalta estämistä ja paljastamista hoitavilla virkamiehillä on oikeus saada teleyrityksiltä ja yhteisötilaajilta tarpeelliset tiedot teleliittymästä, jota ei mainita julkisessa luettelossa, tai teleliittymän, sähköpostiosoitteen, muun teleosoitteen tai telepäätelaitteen yksilöivät tiedot 86 §:ssä tarkoitetun tehtävän suorittamiseksi.  

Puolustusvoimilla on myös edellä esitetyn perusteella laaja yleinen tiedonsaantioikeus tehtävänsä hoitamiseksi. Sitä voidaan rajoittaa siitä nimenomaisesti säätämällä. Kuten poliisin osalta, myös Puolustusvoimien osalta on katsottu, että SVPL:ään sisältyy tällainen nimenomainen rajoite etenkin viestin sisältöä ja välitystietoja koskevan tiedon osalta.  

2.2.4  Henkilötiedot ja sovellettava tietosuojalainsäädäntö

Koska vaihdettava tieto voi osittain olla luonteeltaan myös henkilötietoa, on tarpeen arvioida myös eri viranomaisia koskevaa tietosuojalainsäädäntöä. Lähtökohtaisesti viranomaisten toimintaan sovelletaan yleistä tietosuoja-asetusta (EU) 2016/679 ja sitä täydentäviä kansallisia säädöksiä, kuten tietosuojalakia (1050/2018). Kuitenkin huomattavaa on, että poliisin toiminnassa yleisen tietosuoja-asetuksen lisäksi rikosten ennaltaehkäisemiseen, paljastamiseen ja selvittämiseen sekä syyteharkintaan saattamisen osalta sovelletaan rikosasioiden tietosuojalakia. Henkilötietojen käsittelystä poliisitoimessa annettua lakia sovelletaan poliisilain 1 luvun 1 §:ssä tarkoitettujen perustehtävien suorittamiseen, jollei muualla laissa toisin säädetä.  

Lisäksi rikosasioiden tietosuojalakia sovelletaan Puolustusvoimiin siltä osin, kun kyse on maa-alueen, vesialueen ja ilmatilan valvomisesta sekä alueellisen koskemattomuuden turvaamisesta sekä virka-avusta yleisen järjestyksen ja turvallisuuden ylläpitämiseksi, terrorismin estämiseksi ja keskeyttämiseksi sekä muuksi yhteiskunnan turvaamiseksi. Rikosasioiden tietosuojalakia sovelletaan Puolustusvoimissa myös rikosasioiden ennalta estämiseen, paljastamiseen ja selvittämiseen. Tältä osin on säädetty erillinen Puolustusvoimien henkilötietolaki, jota sovelletaan rikosasioiden tietosuojalain rinnalla muutamin poikkeuksin.  

Edellä mainittujen säädösten lisäksi sovellettavaksi voi tulla Euroopan parlamentin ja neuvoston direktiivi henkilötietojen käsittelystä ja yksityisyyden suojasta sähköisen viestinnän alalla (2002/58/EY) eli sähköisen viestinnän tietosuojadirektiivi. Direktiivi on pantu täytäntöön isolta osin SVPL:ssä. Sääntelyä sovelletaan erityisesti välitystietoihin. 

2.2.5  Viranomaisten tiedonvaihtosääntelyn arviointi

Ehdotetun sääntelyn kohteena olevilla viranomaisilla on toiminnassaan laajat tiedonsaantioikeudet. Tiedon vaihtamista viranomaisten välillä rajoittavat käytännössä viestinnän luottamuksellisuutta turvaavat rajoitussäännökset ja toisaalta rikostorjunnan ja tiedustelun väliset palomuurisäännökset. Rajoitukset viranomaisten väliselle tiedonvaihdolle ovat siis olemassa perustellusta, perustuslain perusoikeussuojaan liittyvistä syistä. Käytännössä esimerkiksi poliisilla ja Puolustusvoimilla voi tarvittaessa olla pääsy myös niihin tietoihin, joita Liikenne- ja viestintävirastolla on hallussaan lakisääteisistä tehtävistään johtuen, mutta tiedon hankinta edellyttää erityisiä, tuomioistuinkontrollin alaisia menettelyjä. Nopeasti etenevissä tilanteissa tämä saattaa hankaloittaa tietoturvaloukkausten estämistä, koska kyseiset tilanteet voivat olla ohi nopeastikin. Normaalitilanteessa tiedonvaihtoon liittyvät rajoitteet ovat perustuslaillisista näkökohdista johtuen edelleen perusteltuja.  

2.4.1  NIS-direktiivi

Merkittävistä tietoturvaloukkauksista on annettu Euroopan parlamentin ja neuvoston direktiivi toimenpiteistä yhteisen korkeatasoisen verkko- ja tietojärjestelmien turvallisuuden varmistamiseksi koko unionissa eli niin kutsuttu NIS-direktiivi. Direktiivissä säädetään muun muassa keskeisten palvelujen tarjoajien sekä digitaalisten palvelujen tarjoajia koskevasta turvallisuus- ja ilmoitusvaatimuksesta. NIS-direktiivin liitteessä II on määritelty toimialat ja toimialojen osa-alueet, jotka nähdään keskeisiksi palvelujen tarjoajiksi tietoturvaloukkaustilanteissa. Nämä toimijat on mielletty direktiivin kannalta sellaisiksi, jotka tarjoavat palvelua, joka on keskeinen yhteiskunnan ja/tai talouden kriittisten toimijoiden ylläpitämiseksi, palvelun tarjoaminen on riippuvainen verkko- ja tietojärjestelmistä tai tietoturvapoikkeamalla olisi merkittäviä haitallisia vaikutuksia kyseisen palvelun tarjoamiseen. 

Direktiivin mukaan eri toimialojen toimivaltaisten viranomaisten on tehtävä yhteistyötä tietoturvaloukkauksiin reagoiviin ja niitä tutkiviin yksiköihin (CSIRT). Suomessa CSIRT-toimija on Liikenne- ja viestintäviraston Kyberturvallisuuskeskus ja toimivaltaisia viranomaisia ovat Energiavirasto, Finanssivalvonta, Valvira, ELY-keskus, maa- ja metsätalousministeriö sekä Liikenne- ja viestintävirasto. Kriittisten palvelujen ja digitaalisten palvelujen tarjoajille on asetettu turvallisuusvaatimukset ja merkittävistä tietoturvapoikkeamista tulee ilmoittaa ilman aiheetonta viivytystä toimivaltaiselle viranomaiselle. Poikkeaman merkittävyyttä arvioitaessa tulee huomioida niiden lukumäärä, joihin palvelun häiriö vaikuttaa, poikkeaman kesto sekä maantieteellinen levinneisyys. 

EU:n neuvosto ja parlamentti ovat päässeet toukokuussa 2022 alustavaan yhteisymmärrykseen uudesta kyberturvallisuusdirektiivistä (NIS2-direktiivi), joka tulee korvaamaan voimassa olevan NIS-direktiivin.  

2.4.2  Sähköisen viestinnän tietosuojadirektiivi

Sähköisen viestinnän tietosuojadirektiivissä (2002/58/EY, ePrivacy-direktiivi) säädetään henkilötietojen käsittelystä ja yksityisyyden suojasta sähköisen viestinnän alalla. Direktiivin mukaan sähköisen viestinnän palveluiden välityksellä tapahtuva viestintä ja siihen liittyvät liikennetiedot ovat luottamuksellisia. Erityisesti on kiellettävä se, että muut henkilöt ilman käyttäjän suostumusta kuuntelevat, salakuuntelevat, tallentavat tai muulla tavalla sieppaavat tai valvovat viestintää ja siihen liittyviä tietoja, jollei se ole laillisesti sallittua direktiivin 15 artiklan 1 kohdan mukaisesti. Kyseisen kohdan mukaan jäsenvaltiot voivat toteuttaa lainsäädännöllisiä toimenpiteitä, joilla rajoitetaan tämän direktiivin 5 artiklassa, 6 artiklassa, 8 artiklan 1, 2, 3 ja 4 kohdassa sekä 9 artiklassa säädettyjen oikeuksien ja velvollisuuksien soveltamisalaa, jos tällaiset rajoitukset ovat välttämättömiä, asianmukaisia ja oikeasuhteisia demokraattisen yhteiskunnan toimenpiteitä kansallisen turvallisuuden (valtion turvallisuus) sekä puolustuksen, yleisen turvallisuuden tai rikosten tai sähköisen viestintäjärjestelmän luvattoman käytön torjunnan, tutkinnan, selvittämisen ja syyteharkinnan varmistamiseksi direktiivin 95/46/EY 13 artiklan 1 kohdan mukaisesti. 

Unionin tuomioistuimen ePrivacy-direktiivin tulkintaa koskevassa oikeuskäytännössä on korostettu viestinnän luottamuksellisuutta osana unionin perusoikeuskirjan 7 artiklan mukaista yksityiselämän kunnioittamisen sekä 8 artiklan mukaista henkilötietojen suojaa. Oikeuskäytännön mukaisesti ainoastaan vakavan rikollisuuden torjumista tai yleiseen turvallisuuteenkohdistuvien vakavien uhkien ehkäisemistä koskevilla tavoitteilla voidaan perustella se, että viranomaisille annetaan tätä koskevan kansallisen lainsäädännön nojalla oikeus saada sellaisia liikenne- ja paikkatietoja, joiden muodostama kokonaisuus voi mahdollistaa yksityiskohtaisten päätelmien tekemisen sähköisen viestintävälineen käyttäjän yksityiselämästä. Lisäksi toimivaltaisen viranomaisen tiedonsaantioikeus rajataan täysin välttämättömään (tuomio 5.4.2022 Comissioner of an Garda Síochána ym. C-140/20 110 kohta tuomio 21.12.2016, Tele2 Sverige ja Watson ym., C-203/15 ja C-698/15, EU:C:2016:970, 99 ja 118 kohta, tuomio 2.10.2018, Ministerio Fiscal, C-207/16, EU:C:2018:788, 54 kohta, tuomio 2.3.2021, Prokuratuur, C-746/18, EU:C:2021:152, 35 kohta). Edellä mainittujen edellytysten noudattamisen varmistamiseksi on katsottu olennaiseksi, että viranomaisten tietojensaanti edellyttää riippumattoman hallinnollisen toimielimen, kuten tuomioistuimen, etukäteisvalvontaa. (tuomio 6.10.2020, La Quadrature du Net ym., C-511/18, C-512/18 ja C-520/18, EU:C:2020:791, 189 kohta ja Prokuratuur, 51 kohta). 

2.4.3  Yleinen tietosuoja-asetus

EU:n yleisessä tietosuoja-asetuksessa (EU) 2016/679 (jäljempänä TSA) säädetään luonnollisten henkilöiden henkilötietojen käsittelystä ja niiden tietojen vapaasta liikkuvuudesta. Asetusta sovelletaan henkilötietojen käsittelyyn, joka on osittain tai kokonaan automaattista sekä sellaiseen henkilötietojen käsittelyyn muussa kuin automaattisessa muodostaa, jotka muodostavat rekisterin osan tai joiden on tarkoitus muodostaa rekisterin osa. Alueellisesti asetusta sovelletaan henkilötietojen käsittelyyn unionin alueella sijaitsevan rekisterinpitäjän tai käsittelijän toiminnan yhteydessä. Lisäksi asetusta sovelletaan unionissa olevia rekisteröityjä koskevien henkilötietojen käsittelyyn, vaikka rekisterinpitäjä tai henkilötietojen käsittelijä ei ole sijoittunut unioniin, jos käsittely liittyy rekisteröidyn käyttäytymisen seurantaan siltä osin kuin heidän käyttäytymisensä tapahtuu unionissa. Viranomaisten välillä vaihdettavat tiedot, jotka katsotaan henkilötiedoiksi, kuuluvat siten lähtökohtaisesti asetuksen soveltamisalaan. 

Asetuksen 5 artiklan mukaan henkilötietoja on käsiteltävä lainmukaisesti, asianmukaisesti ja rekisteröidyn kannalta läpinäkyvästi ja ne on kerättävä tiettyä nimenomaista ja laillista tarkoitusta varten, eikä niitä saa käsitellä myöhemmin näiden tarkoitusten kanssa yhteensopimattomalla tavalla (käyttötarkoitussidonnaisuus). Käsittelyn on asetuksen 6 artiklan mukaan laillista muun muassa, jos se on tarpeen rekisterinpitäjän lakisääteisen velvoitteen noudattamiseksi tai rekisteröidyn tai toisen luonnollisen henkilön elintärkeiden etujen suojaamiseksi. Lisäksi lainmukaisuuden vaatimus täyttyy, jos käsittely on tarpeen yleistä etua koskevan tehtävän suorittamiseksi tai rekisterinpitäjälle kuuluvan julkisen vallan käyttämiseksi. Silloin, kun käsittely tapahtuu yleistä etua koskevan tehtävän suorittamiseksi, käsittelyn perustasta on säädettävä joko unionin oikeudessa tai rekisterinpitäjään sovellettavassa jäsenvaltion lainsäädännössä. 

Olennaista viranomaisten välisen tiedon vaihdon kannalta merkittävien tietoturvaloukkausten tilanteessa on tiedonkäsittely muuta kuin alkuperäistä tarkoitusta varten. Asetuksen 6 artiklan 4 kohdan mukaan on ensinnäkin huomioitava 23 artiklan 1 kohdassa asetetut tavoitteet ja lisäksi on huomioitava, että muuhun tarkoitukseen tapahtuva käsittely on yhteensopivaa sen tarkoituksen kanssa, jota varten tiedot alun perin kerättiin. Huomioitavina seikkoina ovat henkilötietojen keruun tarkoitusten ja aiotun myöhemmän käsittelyn tarkoitusten väliset yhteydet henkilötietojen keruun asiayhteys erityisesti rekisteröityjen ja rekisterinpitäjän välisen suhteen osalta, käsitelläänkö erityisiä henkilötietoryhmiä tai rikostuomioihin ja rikkomuksiin liittyviä henkilötietoja, aiotut myöhemmät seuraamukset rekisteröidylle ja asianmukaiset suojatoimet. 

Asetuksen 23 artiklan 1 kohdan mukaan rekisterinpitäjään tai henkilötietojen käsittelijään sovellettavassa unionin oikeudessa tai jäsenvaltion lainsäädännössä voidaan lainsäädäntötoimenpiteellä rajoittaa asetuksessa säädettyjä oikeuksia ja velvollisuuksia, kuten 5 artiklassa tarkoitettua käyttötarkoitussidonnaisuutta ja säädettyjen velvollisuuksien ja oikeuksien soveltamisalaa, jos kyseisessä rajoituksessa noudatetaan keskeisiltä osin perusoikeuksia ja –vapauksia ja se on demokraattisessa yhteiskunnassa välttämätön ja oikeasuhtainen toimenpide, jotta voidaan taata muun muassa kansallinen turvallisuus, puolustus, yleinen turvallisuus tai rikosten ennalta estäminen, tutkinta, paljastaminen. Artiklan 2 kohdassa on lueteltu seikkoja, jotka tulee tarpeen mukaan huomioitavaksi edellä mainittuja lainsäädäntötoimenpiteitä tehtäessä. 

2.4.4  Rikosasioiden tietosuojadirektiivi

Yleisen tietosuoja-asetuksen ohella esityksen kannalta on huomioitava Euroopan parlamentin ja neuvoston direktiivi (EU) 2016/680 luonnollisten henkilöiden suojelusta toimivaltaisten viranomaisten suorittamassa henkilötietojen käsittelyssä rikosten ennalta estämistä, tutkimista, paljastamista tai rikoksiin liittyviä syytetoimia tai rikosoikeudellisten seuraamusten täytäntöönpanoa varten sekä näiden tietojen vapaasta liikkuvuudesta ja neuvoston puitepäätöksen 2008/977/YOS kumoamisesta eli rikosasioiden tietosuojadirektiivi. Direktiivi ja yleinen tietosuoja-asetus muodostavat yhdessä niin sanotun tietosuojapaketin, joka muodostaa voimassa olevan EU:n tietosuojalainsäädännön yhdessä ePrivacy-direktiivin kanssa. Rikosasioiden tietosuojadirektiivi on kansallisesti pantu täytäntöön rikosasioiden tietosuojalailla. 

Rikosasioiden tietosuojadirektiivin tarkoituksena on varmistaa henkilötietojen suoja direktiivin soveltamisalalla sekä helpottaa tietojen vapaata liikkuvuutta jäsenvaltioiden poliisi- ja oikeusviranomaisten välillä. Rikosasioiden tietosuojadirektiivissä on yleisten säännösten lisäksi säännökset yleisistä periaatteista, rekisterinpitäjästä, henkilötietojen käsittelijästä, henkilötietojen siirtämisestä kolmansiin maihin tai kansainvälisille järjestöille, valvontaviranomaisista, yhteistyöstä, oikeussuojakeinoista, vastuusta sekä seuraamuksista. 

4.2.1  Vaikutukset viranomaisten toimintaan

Esityksen keskeiset suorat vaikutukset kohdistuvat viranomaisten keskinäisiin suhteisiin, menettelytapoihin sekä hallinnollisiin menettelyihin merkittävissä tietoturvaloukkauksissa ja uhkissa. Kokonaisvaikutus viranomaisten toimintaan arvioidaan vähäiseksi, sillä ehdotettu tiedonvaihtosääntely viranomaisten välillä tullee sovellettavaksi vain poikkeuksellisissa tilanteissa, mikäli niiden määrä ei merkittävästi nousisi. Esityksessä ehdotetaan parannettavan viranomaisten yhteistoiminnan mahdollisuuksia tiedonvaihtoa tehostamalla. Ehdotuksen voidaan katsoa helpottavan ja selkeyttävän viranomaisten välistä vuorovaikutusta ja nopeuttavat toimintaa näissä tilanteissa. Selkeä oikeus tiedonvaihtoon viranomaisten välillä nopeuttaa viranomaisten mahdollisuuksia reagoida merkittäviin tietoturvaloukkauksiin.  

Valmistelun aikana käytiin viranomaisten välillä ehdotuksen mukainen tiedonvaihtoharjoitus, jossa arvioitiin ehdotuksen soveltuvuutta käytäntöön. Harjoituksen yhtenä tuloksena todettiin, että tiedon vaihtamisen kynnysarvon ylittämisen arviointi saattaa osoittautua käytännössä haastavaksi varsinkin, kun kokonaiskuva tietoturvaloukkauksesta ja sen merkittävyydestä voi voi muodostua monesti vasta tietoja vaihtamalla. Niitä ei kuitenkaan voisi vaihtaa ennen edellytysten arviointia, joka perustuu niiden yhdistämiseen.  

Ehdotus ei suoraan vaikuta viranomaisten tehtäviin sellaisina kuin ne on tällä hetkellä säädetty. Viranomaisten tehtäviin vähäisesti vaikuttava muutos liittyy Puolustusvoimien, poliisin ja suojelupoliisin antamaan virka-apuun Liikenne- ja viestintävirastolle. Poliisin ja Puolustusvoimien osalta tämä mahdollisuus on vain jossakin määrin uusi, koska virasto on voinut saada näiltä viranomaisilta virka-apua myös tähän asti. Käytännössä tähän mennessä Liikenne- ja viestintävirasto ei ole pyytänyt muilta viranomaisilta tietoturvaloukkauksiin liittyvää virka-apua eli oletettavasti vaikutukset tässä suhteessa tulevat jäämään vähäisiksi. Normaalin yhteistyön viranomaisten välillä on tarkoitus jatkua samaan tapaan kuin tähänkin asti.  

Laajemman viranomaiskentän erityisosaamisen hyödyntäminen voidaan olettaa parantavan tietoturvaloukkausten ja -uhkien hallintaa ja analysointia, mikä toisaalta antaa hyökkäyksen kohteella olevalle taholle paremmat edellytykset hankkia tilanteen korjaamiseksi tarvittavat palvelut. Tietoturvan osalta korostuu myös henkilöstön osaaminen, mikä etenkin erityisissä teknistä osaamista vaativissa tapauksissa voi olla vain muutamilla henkilöillä Suomessa tai jopa koko maailmassa.  

Ehdotuksessa on mukana kaksi päätöksentekoprosesseihin kohdistuvaa muutosta, joiden tarkoituksena on keventää hallinnollisia menettelyjä Liikenne- ja viestintävirastossa. Hallinnollisia menettelyitä keventävät ehdotukset siitä, että liikenne- ja viestintäministeriö ei enää päättäisi Liikenne- ja viestintäviraston antamasta virka-avusta tai tietojen luovuttamisesta ulkomaisille tietoturvaloukkausten selvittämisen kannalta toimivaltaisille viranomaisille. 

Ehdotuksella pyritään turvaamaan merkittävissä tietoturvaloukkaustilanteissa tai tietoturvauhkassa muun muassa julkisen vallan päätöksentekokykyyn vaikuttavat toiminnot ja viranomaisten toimintaedellytykset. Viranomaisten yhteistoiminnan edistämisen uhkiin toteutumisen ehkäisyssä ja toisaalta jo havaittujen loukkausten osalta voidaan arvioida vaikuttavan positiivisesti julkisen vallan päätöksentekokykyyn myös vakavissa tietoturvaloukkaustilanteissa. Vaikutusten arvioidaan olevan vastaavanlaiset myös muuhun viranomaistoimintaan. 

Ehdotus viestinnän välittäjän oikeudesta luovuttaa välitystietoja ja tietoja viesteistä Liikenne- ja viestintävirastolle parantaa viraston edellytyksiä selvittää ja ennalta ehkäistä tietoturvaloukkauksia sekä mahdollistaa kattavamman tilannekuvan muodostamisen. Säännöksellä on siten vaikutusta myös päivittäiseen toimintaan. Lausunnossa esitetyn näkemyksen perusteella on mahdollista, että viestinnän välittäjän kynnys tiedon luovuttamiselle nousee, koska viranomainen saattaisi ryhtyä tutkimaan, onko SVPL:n mukainen käsittelyoikeus kyseiselle tiedolle syntynyt. Tämä saattaa olla haaste erityisesti pk-yrityksille. 

4.2.2  Taloudelliset vaikutukset

Esityksellä arvioidaan olevan vähän taloudellisia vaikutuksia. Liikenne- ja viestintäviraston tekemien virka-apupyyntöjen mahdollisuuden laajentaminen poliisin, suojelupoliisin ja Puolustusvoimien osalta aiheuttaisi toteutuessaan jonkin verran kustannuksia julkiseen talouteen, mutta kyse olisi tuolloinkin vain kertaluonteisista ja vähäisiksi arvioiduista kustannuksista. Virka-apu olisi asiantuntija- tai laiteapua, jolloin kustannukset rajoittuisivat käytännössä näihin toimintoihin. Virka-avun pyytäjä vastaisi virka-avusta aiheutuvista kustannuksista talousarvion nykyisten määrärahojen puitteissa. Virka-avun määrän ei odoteta kasvavan esityksen johdosta merkittävästi.  

4.2.3  Yritysvaikutukset

Ehdotuksenmukaista tiedonvaihtosääntelyä sovellettaisiin yhteiskunnan toiminnan kannalta keskeisiin toimintoihin kohdistuvissa tietoturvaloukkaustilanteissa. Monet tällaiset toiminnot ovat yksityisten toimijoiden tuottamia. Viranomaisten puuttumiskyvykkyyden ja yhteistoiminnan parantaminen merkittävien tietoturvaloukkausten ehkäisemisessä, selvittämisessä ja jossain määrin myös vaikutuksien poistamisessa osaltaan rajoittaa tietoturvaloukkauksista aiheutuvien haitallisten kustannusten syntymistä. Vaikutusten poistamisen osalta viranomaisten toiminnan vaikutus yritystoimintaan on jossakin määrin rajallinen, koska vastuu näistä on usein toimijalla itsellään. Viranomainen voi kuitenkin tukea yrityksiä tällaisissa tilanteissa. Viranomaisten laajempi tiedonvaihto parantaa tilannetietoisuutta, mikä edesauttaa niitä toimimaan paremmin myös suhteessa hyökkäyksen kohteeksi joutuneeseen yritykseen. 

Ehdotuksella arvioidaan olevan vaikutuksia yrityksiin lähinnä niissä tilanteissa, joissa merkittävä tietoturvaloukkaus tai sen vakava uhka kohdistuisi yhteiskunnan toiminnan kannalta keskeiseksi katsotun yrityksen toimintaan. Lausuntokierroksella saatujen näkemysten perusteella vaikutukset saattavat vaihdella voimakkaasti riippuen siitä, mistä toimialasta on kyse. Elinkeinoelämän keskusliitto on todennut, että vaikutukset olisivat todennäköisesti merkittäviä erityisesti telekommunikaatio- ja finanssisektorilla sekä muilla kriittisimmillä toimialoilla. Toisaalta näillä toimialoilla yhteistyö on vahvasta sääntelystä johtuen jo nykyiselläänkin melko säännöllistä ja toimivaa. 

Tietoturvaloukkaustilanteissa viranomaisten paremmat toimintamahdollisuudet voidaan arvioida yritysten kannalta pääosin positiivisena, jolloin mahdollisen tietoturvauhkan realisoituminen pystytään parhaassa tapauksessa estämään ja viranomaiset voivat tukea yrityksiä tietoturvaloukkausten vaikutusten poistamisessa. Tietoturvaloukkauksista aiheutuneita kustannuksia on vaikea arvioida, mutta edellä esitetyn ohella esimerkiksi kiristyshaittaohjelmista voi aiheutua yrityksille miljoonien eurojen tappiot, mikäli pyydetyt lunnaat maksetaan tai toiminta keskeytyy. Dataa tuhoavien haittaohjelmien vaikutukset yrityksiin voivat olla toiminnan kannalta vieläkin lamauttavampia erityisesti, jos yrityksen toiminta suurelta osin perustuu tietojärjestelmien toimintaan ja tietojärjestelmissä olevaan dataan. Ehdotuksella tavoiteltaisiin tietoturvaloukkauksista aiheutuvien haitallisten vaikutusten vähentämistä parantamalla viranomaisten kyvykkyyttä ja yhteistoimintaa merkittäviin ja vakavia haitallisia vaikutuksia omaaviin tietoturvaloukkauksiin puuttumiseksi ja niiden uhkien ehkäisemiseksi. 

Tietoturvaongelmien ja niistä aiheutuvien toimintahäiriöiden kokonaiskustannuksia on arvioitu muun muassa Tietoturvan ja tietosuojan parantamista yhteiskunnan kriittisillä toimialoilla arvioineen työryhmän loppuraportissa (Liikenne- ja viestintäministeriön julkaisuja 2021:1, s. 52–54). Tietoturvan ja tietosuojan murtuminen kriittisillä toimialoilla aiheuttaa monenlaisia kustannuksia, sillä yritystason kustannusten lisäksi kustannuksia aiheutuu yhteiskunnalle laajemmin esimerkiksi keskinäisriippuvuuksien kautta. Pienten ja keskisuurten yritysten tietomurtojen kokonaiskustannukset vuonna 2015 olivat Yhdysvalloissa noin 50 000 dollaria. Sen sijaan suurilla, yli 1500 henkilöä työllistävillä, yrityksillä kokonaiskustannukset olivat noin 620 000 dollaria. Siirryttäessä yritysvaikutuksista kansantalouden tasolla kriittisten toimialojen toimintaan kohdistuviin häiriöihin, kustannusvaikutukset voivat kasvaa kymmenien miljoonien tai miljardien eurojen suuruusluokkaan (Ronikonmäki, Niko-Matti – Sirviö, Tom Henrik: Taloustieteellisiä näkökulmia kyberturvallisuuteen. Kansantaloudellinen aikakausikirja – 117 vsk 2/2021, s. 268). Vuoteen 2015 nähden toiminta on lisäksi edelleen laajentunut ja ammattimaistunut, minkä vuoksi vaikutukset voivat tällä hetkellä olla jo edellä esitettyä huomattavasti laajemmat. Tarkkoja kokonaistilastoja tietoturvaloukkauksista on ylipäätään vaikea saada, koska monesti esimerkiksi mainehaitan pelossa loukkauksista ei ilmoiteta viranomaisille. 

Liikenne- ja viestintävirastolle luovutettuja välitystietoja ja viestin sisältöä koskevia tietoja koskee salassapitovelvollisuus, johon nyt ehdotetaan tehtäväksi poikkeusta. Salassapitoa on pidetty luottamuksellisen viestinnän suojan ja toiminnan kannalta keskeisenä. Ehdotuksen mukaisessa tilanteessa tietoturvaloukkauksia tai -uhkia koskevia tietoja voitaisiin luovuttaa poliisin, suojelupoliisin, Puolustusvoimien ja Liikenne- ja viestintäviraston välillä aiempaa laajemmin esityksen mukaisissa vakavissa tilanteissa, joissa yhteiskunnan turvallisuus uhkaa vaarantua. Ehdotus sinällään asettaisi rajoituksia viranomaiselle luovutetun tiedon luottamuksellisuudelle ja esimerkiksi tietoturvaloukkauksen uhritieto saattaa monissa tilanteissa aiheuttaa herkkyyksiä erityisesti mainehaitan vuoksi. Ottaen huomioon tällaisten tilanteiden poikkeuksellisuus ja toisaalta vakavuusaste, voidaan arvioida, että ehdotus ei merkittävästi vaikuttaisi yritysten luottamukseen viranomaisten ja erityisesti Kyberturvallisuuskeskuksen toimintaa kohtaan, johon vapaaehtoisia ilmoituksia tehdään. Sinällään ehdotus ei vaikuta yleisesti tiedon salassa pidettävyyteen eli salassa pidettäväksi säädetty tieto on sitä myös vastaanottavassa viranomaisessa. 

4.2.4  Vaikutukset kansalaisten asemaan yhteiskunnassa

Ehdotuksen vaikutuksia voidaan arvioida kohdistuvan myös kansalaisten asemaan ja erityisesti yksityiselämän suojaan. Tietoturvaloukkauksilla sinällään voi olla yritysten lisäksi laajamittaisia vaikutuksia myös tavallisiin kansalaisiin ja kotitalouksiin, joiden tiedot ovat esimerkiksi olleet osana jotain isompaa tietojärjestelmää, joka on joutunut tietoturvaloukkauksen kohteeksi. Tuolloin riskinä on, että järjestelmissä olevia arkaluonteisia tietoja vuodettaisiin julkisuuteen tai niitä käytetään hyväksi muilla tavoin. Viranomaistoiminnan tehostamisella vakavissa tilanteissa parannetaan mahdollisuuksia tietoturvaloukkausten selvittämiseen, syyllisten kiinni saamiseen ja parhaassa tapauksessa niiden ennalta ehkäisemiseen, mikäli merkittävä tietoturvauhka voidaan havaita riittävän varhaisessa vaiheessa. Ehdotus parantaisikin välillisesti kansalaisten ja kotitalouksien asemaa parantamalla viranomaisten toimintakykyä puuttua ja selvittää sellaisia merkittäviä tietoturvaloukkauksia, joista voisi olla merkittäviä haittoja kansalaisille ja kotitalouksille yhteiskunnassa. 

Ehdotus mahdollistaa aikaisempaa laajemman viestinnän välittäjien oikeuden luovuttaa tietoja Liikenne- ja viestintävirastolle välitystiedoista ja viestien sisällöstä. Tällä on vaikutusta kansalaisten yksityisyyden suojaan ja luottamuksellisen viestinnän suojaan. Viestien sisältö on viestinnän luottamuksellisuuden ytimessä. Muutoksen vaikutus tässä suhteessa ei kokonaisuutena arvioiden ole erityisen merkittävä, koska Kyberturvallisuuskeskuksella on tälläkin hetkellä oikeus pyytää tietoturvaloukkauksia koskevia tietoja ja toisaalta esimerkiksi haittaohjelmia sisältävät viestit eivät ole viestinnän luottamuksellisuuden olennaisin ydin, joten tältä osin vaikutus arvioidaan kokonaisuudessaan kuitenkin vähäiseksi. Kokonaisuudessaan ehdotus kuitenkin välillisesti parantaisi viestinnän luottamuksellisuutta tietoturvaloukkauksien ennaltaehkäisyn kautta. 

4.2.5  Vaikutukset rikostentorjuntaan ja turvallisuuteen

Ehdotuksen arvioidaan vaikuttavan kansallista turvallisuutta parantavasti ja edistävän kyberrikollisuuden torjuntaa. Yhteistoiminnasta tähän mennessä saatujen kokemusten perusteella tiedonvaihtoon sisältyy joitakin haasteita, jotka voisivat vakavimmissa ja nopeita toimenpiteitä vaativissa tilanteissa vaikeuttaa tilanteen kokonaisvaltaista hallintaa ja havainnointia viranomaisten kesken. Sääntelyn selkeyttämisellä näissä tilanteissa helpotettaisiin viranomaisten yhteistoimintaa. Yhteiskunnan turvallisuustilanteen muuttuessa on ennakoitava mahdollisia vakavia tietoturvatilanteita ja ehdotuksella pyritään vastaamaan näihin haasteisiin. 

Koska yhteiskunnan toiminta nojaa nykyisellään huomattavassa määrin verkkoyhteyksien ja tietojärjestelmien varaan ja ne sisältävät myös huomattavan määrän sekä yksityisiä että yhteisöjä koskevaa tietoa, niiden toimivuus on kriittisessä asemassa yhteiskunnan toiminnassa. Erityisesti tietoliikenneyhteydet ja sähkönjakelu ovat luonteeltaan laajasti moniin eri toimintoihin vaikuttavia toimintoja. Sähköverkkojen toimintaan kohdistuvalla tietoturvaloukkauksella voisi olla erittäin merkittäviä vaikutuksia koko yhteiskuntaan lähes kaiken toimiessa sähköllä sairaaloista kotitalouksiin tai esimerkiksi liikenteen ohjausjärjestelmiin. Tieto- tai viestintäverkkojen toiminnan häiriöillä olisi yhtä lailla laajalle ulottuvia vaikutuksia yhä useamman toiminnon ollessa liitettynä verkkoon. Moni teollisuudenala, viranomaisten toiminnot, terveydenhuollon järjestelmät perustuvat usein verkkoon yhteydessä oleviin järjestelmiin. Näiden järjestelmien toiminnan estymisellä olisi merkittäviä haitallisia vaikutuksia kyseisen toimijan toimintaan ja voi pahimmillaan vaarantaa yhteiskunnan turvallisuutta myös laajemminkin. Tästä syystä tietoturvaloukkauksiin reagoiminen ja niistä aiheutuvien vaikutusten minimoiminen kaikin mahdollisin keinoin on tärkeää. 

Vakavissa tietoturvauhkissa tehtävä yhteistyö on suorassa yhteydessä rikostentorjuntaan, koska uhkatilanteessa mahdolliset rikokset ovat vielä ennalta ehkäistävissä. Rikollisten kiinnisaaminen kyberrikoksissa on kuitenkin haastavaa ensinnäkin siitä syystä, että rikollisten jäljittäminen on vaikeaa, mutta myös sen vuoksi, että kyberrikokset eivät tunne valtioiden välisiä rajoja, jolloin rikoksen tekijä voi olla käytännössä missä päin maailmaa tahansa. Rikostorjuntaa saattaa jossain määrin edesauttaa myös ehdotettu poikkeuksellisissa tilanteissa tapahtuvaa tiedonvaihtoa koskeva säännös siltä osin, kun poliisin saamat tiedot ovat hyödynnettävissä rikoksen selvittämiseksi ja rikosvastuun kohdentamiseksi. 

Viranomaisarvion mukaan viestinnän välittäjän vapaaehtoista tiedonluovutusta koskeva ehdotus edistää kyberturvallisuuden kansallisen tilannekuvan ylläpitämistä sekä tietoturvaloukkausten selvittämistä ja niitä koskevaa tiedonjakoa sekä sitä kautta tietoturvaloukkausten ennalta estämistä. Se myös välillisesti edistää viestintäverkkojen, palvelujen ja niihin liitettyjen tietojärjestelmien tietoturvallisuutta, mikä osaltaan turvaa myös yksityisyyden suojan toteutumista viestintäpalveluita käytettäessä. 

5.2.1  Ruotsi

5.2.2  Norja

5.2.3  Saksa

5.2.4  Iso-Britannia

5.2.5  Ranska

11.2.1  Viestinnän luottamuksellisuus

Hallituksen esityksen keskeinen perusoikeudellinen kysymys liittyy perustuslain 10 §:ssä suojattuun yksityiselämän suojaan, erityisesti sen 2 momentissa turvattuun luottamuksellisen viestin suojaan. Euroopan unionin perusoikeuskirjan 7 artiklassa on säädetty siitä, että jokaisella on oikeus siihen, että hänen viestejään kunnioitetaan ja 8 artiklassa säädetään oikeudesta henkilötietojen suojaan. Lisäksi henkilötietojen käsittely tulee tapahtua tiettyä tarkoitusta varten ja asianomaisen henkilön suostumuksella tai muun laissa säädetyn oikeuttavan perusteen nojalla. Luottamuksellisen viestin suoja on turvattu myös Euroopan ihmisoikeussopimuksen (SopS 63/1999) 8 artiklassa, jonka mukaan jokaisella on oikeus nauttia kirjeenvaihtoonsa kohdistuvaa kunnioitusta. Viranomaiset eivät saa puuttua tämän oikeuden käyttämiseen paitsi, kun laki sen sallii ja se on välttämätöntä demokraattisessa yhteiskunnassa kansallisen ja yleisen turvallisuuden tai maan taloudellisen hyvinvoinnin vuoksi, tai epäjärjestyksen tai rikollisuuden estämiseksi, terveyden tai moraaliin suojaamiseksi tai muiden henkilöiden oikeuksien ja vapauksien turvaamiseksi. Perustuslakivaliokunta on todennut, että perustuslain 10 §:ssä turvatun yksityiselämän suojan lähtökohtaan on yksilön oikeus elää omaa elämäänsä ilman viranomaisten ja ulkopuolisten tahojen mielivaltaista tai aiheetonta puuttumista siihen. (PeVL 53/2005 vp, s. 2, PeVL 36/2002 vp, s. 5/II, PeVL 9/2004 vp, s. 5/II). 

Perustuslain 10 §:n 4 momenttiin on sisällytetty erityisiä rajoituslausekkeita, joissa annetaan tavallisen lain säätäjälle valtuus perusoikeuden rajoittamiseen ja toisaalta asetetaan lainsäätäjän harkintavaltaa rajoittavia lisäkriteerejä. Tällaisten kvalifioitujen lakivarausten tarkoituksena on määrittää tavallisen lain säätäjän rajoitusmahdollisuus mahdollisimman täsmällisesti ja tiukasti siten, ettei perustuslain tekstissä anneta avoimempaa perusoikeuden rajoitusvaltuutta kuin välttämättä on tarpeen (PeVM 25/1994 vp, s. 5). Perustuslain 10 §:n 4 momentin lakivarauksessa mainitaan osin samoja edellytyksiä kuin perusoikeuksien yleisissä rajoitusedellytyksissä. Näitä ovat lailla säätämisen vaatimus ja rajoituksen välttämättömyys. Perusoikeuksien yleisiä rajoitusedellytyksiä sovelletaan lakivarausta täydentävästi. Ehdotuksessa olisi kyse perustuslain 10 §:n 4 momentissa tarkoitetusta välttämättömästä rajoituksesta yksilön tai yhteiskunnan turvallisuuden takaamiseksi mutta myös vakavan kansallisen uhkan vuoksi. 

Esityksessä ehdotetaan tehtäväksi poikkeus salassapitosäännöksiin ja tiedon luovuttamista koskeviin rajoituksiin, joiden estämättä poliisi, suojelupoliisi, Puolustusvoimat ja Liikenne- ja viestintävirasto voisivat vastavuoroisesti luovuttaa tietoja merkittävissä tietoturvaloukkaustilanteissa tai sellaisten vakavissa uhkissa. Tietojen luovuttaminen käytännössä koskisi erityisesti viestintään liittyvien tietojen luovuttamista, joiden luovuttamista koskevia rajoituksia on erityisesti Liikenne- ja viestintävirastoa koskevassa lainsäädännössä. Tietojen luovuttaminen koskisi myös henkilötiedoksi katsottuja tietoja. Ehdotus siten laajentaa tiedon luovuttamista yksittäisissä tilanteissa nykyisestä.  

Yleisesti arvioituna ehdotuksella on ensisijaisesti luottamuksellisen viestin suojaa rajoittava vaikutus tiedonvaihtotilanteissa. Toisaalta tiedonvaihdon perusteena on muun muassa luottamuksellisen viestinnän suojaaminen, jolloin luottamuksellisen viestinnän suojaamista välillisesti edistettäisiin sitä yksittäisessä tilanteessa rajoittamalla. Luottamuksellisen viestin suojaamista koskeva perusoikeusvaikutus olisi siten välillinen seuraus niistä toimenpiteistä, joita viranomaiset tietoturvaloukkauksen selvittämisen, ennaltaehkäisemisen ja vaikutusten poistamisen yhteydessä tekevät. 

Luottamuksellisen viestin suojaan liittyen perustuslakivaliokunta on todennut viestien tunnistamistietojen, joista sittemmin on alettu käyttää termiä välitystieto, jäävän luottamuksellisen viestin salaisuuden ydinalueen ulkopuolelle, minkä vuoksi valiokunta on esimerkiksi pitänyt mahdollisena, että tunnistamistietojen saamisoikeus jätetään sitomatta tiettyihin rikostyyppeihin, jos sääntely muutoin täyttää perusoikeuksien yleiset rajoitusedellytykset (PeVL 7/1997 vp, s. 2/I, PeVL 26/2001 vp, s. 3/II). Ehdotuksessa on kyse välitystietojen lisäksi myös esimerkiksi viestin sisältöä koskevista tiedoista, joiden suojaamiseksi on säädetty erityisiä salassapitovelvoitteita ja tiedon luovuttamista koskevia rajoituksia.  

Perustuslakivaliokunta on pitänyt perustuslain kannalta hyväksyttävänä erilaiset tietoturvallisuuden toteuttamista koskevat toimenpiteet mukaan lukien luottamuksellisen viestin sisältöön puuttumisen tietyin vakavaan rikosepäilyyn liittyvin edellytyksin silloin, kun sääntelyllä turvataan viestinnän eri osapuolien tietoverkkojen toimivuutta ja turvallisuutta sekä luodaan näin edellytyksiä sananvapauden käyttämiselle ja viestinnän luottamuksellisuudelle tietoverkoissa. Perusoikeuksien käyttämiseen ja niiden toteutumisen edistämiseen tällä tavoin liittyvät seikat on katsottu hyväksyttäviksi ja painaviksi perusteiksi tietoverkoissa harjoitetun viestinnän luottamuksellisuuteen kohdistuville rajoituksille. Oikeasuhtaisuuden näkökulmasta toimia on pidetty perusteltuina, jos ne ovat välttämättömiä palvelujen tai viestin vastaanottajan viestintämahdollisuuksien turvaamiseksi. Lisäksi haittaohjelmiin liittyvää viestintää ei ole katsottu kuuluvaksi luottamuksellisen viestin salaisuuden ydinalueeseen, koska kyse ei ole sellaisesta henkilön lähettämästä tai hänelle osoitetusta viestistä, jonka sisällön luottamuksellisuus voidaan katsoa olevan perustuslaissa turvatun viestinnän luottamuksellisuuden keskiössä (PeVL 9/2004 vp s. 4). Tällä perusteella voidaan katsoa mahdolliseksi myös ehdotuksen kaltainen tiedonvaihto viranomaisten välillä. 

Ehdotuksen nojalla on tarkoitus mahdollistaa välistystietojen ja viestin sisältöä koskevien tietojen, mutta myös muiden välttämättömien tietojen luovuttaminen viranomaisten välillä tietoturvaloukkauksen tai sen vakavan uhkan tilanteessa. Viestinnän luottamuksellisuuden ja yksityiselämän suojan kannalta ehdotukseen on tehty tästä syystä useita rajauksia. Soveltaminen olisi mahdollista vain, jos kyseessä olisi yhteiskunnan keskeisiin toimintoihin kohdistuvien vaikutusten näkökulmasta erityisen merkittävä tietoturvaloukkaus, joka käytännössä aina täyttäisi vähintään jonkin SVPL 316 §:n 2 momentissa luetellun tietoturvaan liittyvän rikoksen tai esimerkiksi vakoilurikosten tunnusmerkistön. Tietoturvaloukkauksen uhkan osalta on edellä perusteluissa avattu sellaisia poikkeuksellisen vakavia uhkatilanteita, joiden toteutuminen aiheuttaisi esityksen mukaista tietoturvaloukkausta vastaavia vaikutuksia. Lisäksi on painotettu toteutumisen todennäköisyyden merkitystä. Uhkan osalta tulkintaa on esitetty tehtävän suppeasti johtuen uhkaan liittyvän arvioinnin suuremmasta tulkinnanvaraisuudesta. Tiedon luovuttaminen on sidottu välttämättömyyskriteeriin perustuslakivaliokunnan tulkintakäytännön edellyttämällä tavalla. Perustuslakivaliokunta on kiinnittänyt huomiota siihen, että mikäli laissa ei voida eritellä tyhjentävästi luovutettavia tietosisältöjä, on sääntelyyn tullut sisällyttää vaatimus tietojen välttämättömyydestä jonkin tarkoituksen kannalta (PeVL 62/2010 vp, s. 4/1 ja siinä mainitut lausunnot). Ehdotuksessa tällaiseksi tarkoitukseksi on määritelty merkittävien tietoturvaloukkausten selvittäminen, ennalta ehkäiseminen tai vaikutusten poistaminen.  

Ehdotusta ei sinällään ole suoraan sidottu tiettyjen rikosten tunnusmerkistön täyttymiseen, vaikka käytännössä merkittävissä tietoturvaloukkaustilanteissa jokin tieto- tai viestintärikoksen taikka esimerkiksi vakoilurikosten tunnusmerkistö täyttyisi. Säännöksen soveltamisen sitominen tiettyihin tunnusmerkistöihin olisi haastaa erityisesti uhkiin reagoimisen näkökulmasta. 

11.2.2  Salassapito ja tiedon luovuttamisen rajoitukset

Perustuslakivaliokunta on painottanut, että erottelussa tietojen saamisen tai luovuttamisen tarpeellisuuden ja välttämättömyyden välillä on kyse tietosisältöjen laajuuden ohella myös siitä, että salassapitosäännösten edelle menevässä tietojen luovutuksessa tietojen vaihtoa perustelevat intressit syrjäyttävät ne perusteet ja intressit, joita salassapidon avulla suojataan. Mitä yleisluonteisempi tietojensaantiin oikeuttava sääntely on, sitä suurempi on vaara, että tällaiset intressit voivat syrjäytyä hyvin automaattisesti. Tietojen luovuttaminen tulisi valiokunnan käsityksen mukaan sitoa välttämättömyysedellytykseen (PeVL 35/2018 vp, s. 26). Ehdotuksella pyritään suojaamaan yhteiskunnan toimintakykyä ja kriittisiä toimintoja vakavilta tietoturvaloukkauksilta, joilla voi pahimmillaan olla vakavia vaikutuksia yhteiskunnalle. Siten voidaan katsoa, että yhteiskunnan turvallisuuden kannalta intressit näissä yksittäisissä tilanteissa ylittäisivät ne salassapitoa koskevat intressit, joita salassapitosäännöksillä suojataan. Lisäksi tietoturvaloukkauksien toteutuessa täysimääräisesti on mahdollista, että luottamuksellisen viestin suojaan kohdistuvat vaikutukset olisivat mittaluokaltaan huomattavasti haitallisemmat ja useampaa henkilöä koskevat kuin yksittäisessä tapauksessa viranomaisten välillä tapahtuva tiedon vaihtaminen. Näin voi olla esimerkiksi laajojen tietomurtojen yhteydessä.  

11.2.3  Suhde tiedustelutoimintaan ja rikostorjuntaan

Koska Liikenne- ja viestintäviraston hallussa olevaa, salassa pidettäväksi säädettyä ja luottamuksellisen viestin suojaa nauttivaa tietoa voitaisiin vastavuoroisessa tiedonvaihdossa luovuttaa suojelupoliisille ja Puolustusvoimille sekä tarpeen vaatiessa myös näiden välillä, on tarpeen arvioida ehdotuksen suhdetta tiedustelutoimintaan ja siitä seuraaviin perusoikeuskysymyksiin erityisesti viestinnän luottamuksellisuuden kannalta. Kyse olisi sinällään hyvin rajatussa tilanteessa, yksittäistapausta koskevasta tiedonvaihdosta, eikä laajasta kohdentumattomasta tiedonvaihtokanavasta, jonka suhteen perustuslakivaliokunta on vahvasti linjannut, että perustuslain muutos ei mahdollista yleistä, kohdentamatonta ja kaiken kattavaa tietoliikenteen seurantaa tiedustelutoiminnassa (PeVM 4/2018 vp, s. 8). Myös EUT on käytännössään todennut, että tiedonhankinnan on oltava riittävän kohdennettua ja yksilöityä. EUT:n mukaan yksityiselämän kunnioitusta koskevan perusoikeuden suoja unionin tasolla edellyttää, että henkilötietojen suojaa koskevat poikkeukset ja rajoitukset toteutetaan sen rajoissa, mikä on ehdottomasti välttämätöntä (tuomio Digital Rights Ireland ym. 52 kohta oikeuskäytäntöviittauksineen). Myös perustuslakivaliokunta on tuonut kohdentamista ja rajaamista koskevan kannan esille tiedustelutoiminnassa (PeVM 4/2018 vp, s. 7–8). Ehdotuksen ei katsota olevan ristiriidassa näiden tiedonhankinnan kohdentamista ja rajaamista koskevien reunaehtojen kanssa. 

Perustuslakivaliokunta on tiedustelulakeihin liittyvän perustuslain 10 §:n muutoksen säätämisen yhteydessä esittänyt keskeisiä perusteita, jotka on otettava huomioon arvioitaessa luottamuksellisen viestin salaisuuden rajoittamisen perusteena olevan perustuslain 10 §:n 4 momentissa tarkoitettua sotilaallista toimintaa tai muuta kansallista turvallisuutta vakavasti uhkaavaa toimintaa. Se on korostanut vahvoja oikeusturvatakeita, laaja-alaista ja tehokasta tiedusteluvaltuuksien käytön valvontaa sekä riittäviä soveltamisrajoituksia. Kyse on poikkeuksellisesta rajoitusperusteesta, jossa on irtauduttu rikosperusteisesta toiminnasta ja joka tulee siten sovellettavaksi tilanteissa, joissa ei tiedonhankintavaiheessa tai muutoinkaan voida kohdistaa konkreettista ja yksilöityä rikosepäilyä (PeVM 4/2018 vp, s. 8).  

Vaikka kyse ei sinällään ole tiedustelun tiedonhankintakeinosta, vaihdettu tieto saattaisi ehdotuksen mukaisessa tilanteessa olla sellaista, jonka saamiseksi tiedusteluviranomainen hakisi muussa tilanteessa luvan tuomioistuimelta. Liikenne- ja viestintäviraston tehtävästä johtuen sillä on pääsy tai joissain tilanteissa hallussaankin sellaisia tietoja, joihin tiedusteluviranomaisilla, eikä myöskään rikostorjuntaviranomaisilla ole suoraan pääsyä ilman tuomioistuimen myöntämää lupaa. Ehdotuksessa olisi kokonaisuudessaan kyse rajatuista ja laissa määritellyistä tapauksista, eikä sääntelystä sen perusteella muodosta merkittävää poikkeusta tiedustelulle säädetyille periaatteille. Tiedon käyttötarkoitusta on pyritty tarkoin rajaamaan siten, että sitä voitaisiin käyttää vain tietoturvaloukkausten selvittämiseen, ennalta ehkäisemiseen ja vaikutusten poistamiseen. Tietoa voisi siten käyttää myös erityisesti ennaltaehkäisevään toimintaan viranomaisien lakisääteisten tehtävien mukaisesti myös muussa kuin tiedonluovutuksen aiheuttaneessa tilanteessa. Oikeusturvakeinojen takeiden kannalta tiedon käyttötarkoituksen rajaaminen on olennaisessa roolissa. On kuitenkin kokonaisuuden kannalta tarkoituksenmukaista, että vakavia tilanteita koskevaa tietoa voitaisiin käyttää kansallisen turvallisuuden edistämiseen, minkä vuoksi tietoa voisi käyttää tiedustelutoiminnan kohdentamiseen, jonka oikeusturvan takeena toimii tuomioistuin ja toisaalta ennalta ehkäiseviin toimiin. 

Tietoa luovutettaessa poliisille ja Puolustusvoimille on tiedustelutoiminnan lisäksi arvioitava tiedonvaihdon suhdetta rikostorjuntaan ensinnäkin siitä näkökulmasta, että tiedustelutoiminnan ja rikostorjunnan välille on tiedon vaihdon osalta säädetty erityinen niin sanottu palomuuri. Palomuurilla tarkoitetaan sitä, että tiedustelutoimivaltuuksilla saatuja tietoja ei saa siirtää esitutkintaviranomaiselle ilman laissa säädettyjen kriteerien täyttymistä Tiedon luovuttaminen rikostorjuntaan on mahdollista harkinnanvaraisesti tiettyjen vakavien rikosten kohdalla ja toisaalta pakollista erityisen vakavissa rikoksissa. Keskeinen harkintaa ohjaava elementti on tiedon luovuttamisen vaikutus kansalliseen turvallisuuteen. Perustuslakivaliokunta on pitänyt tärkeänä varmistua siitä, että tiedustelutoimivaltuuksin saatujen tietojen vaihtamista koskeva sääntely ei avaisi mahdollisuuksia poliisilain salaisia tiedonhankintakeinoja ja pakkokeinolain salaisia pakkokeinoja koskevan sääntelyn kiertämiseen, joiden käytön kynnys on käytännössä korkeampi (PeVL 35/2018 vp, s. 22). Koska ehdotuksen mukaisessa tilanteessa viranomaiset voisivat vastavuoroisesti luovuttaa toisilleen tietoja, olisi olemassa mahdollisuus, että tiedustelumenetelmällä saatua tietoa olisi oikeus luovuttaa tiedonvaihdon yhteydessä myös esitutkintaviranomaiselle.  

Sekä sotilastiedustelulaissa että siviilitiedustelua koskevassa poliisilain 5 a luvussa on säädetty tiedustelumenetelmällä hankitun tiedon luovuttamisesta esitutkintaviranomaiselle. Tiedusteluviranomaisilla on oikeus ilmoittaa vain sellaista tiedustelumenetelmällä paljastuneista rikoksista, joista säädetty ankarin rangaistus on vähintään kolme vuotta vankeutta. Estettävissä olevista vakavista rikoksista on ilmoitettava viipymättä esitutkintaviranomaiselle, ja oikeus ilmoittaa rikoksesta, josta säädetty ankarin rangaistus on kaksi vuotta vankeutta. Harkinnanvaraisen ilmoittamisen edellytyksenä on, että ilmoituksella arvioidaan olevan erittäin tärkeä merkitys sellaisen rikoksen selvittämiselle, josta säädetty ankarin rangaistus on vähintään kolme vuotta vankeutta. Ehdotuksen kaltaisissa tilanteissa usein toteutuisivat esimerkiksi rikoslaissa säädetyt tietojärjestelmän häirinnän ja tietomurron törkeiden tekomuotojen tunnusmerkistö, jolloin myös esitutkintaan luovutettavan tiedon osalta tiedon luovuttaminen olisi mahdollista ilman poikkeussäännöksiäkin. Vastaava tilanne olisi esimerkiksi vakoilurikosten ja turvallisuussalaisuuden paljastamisen ja luvattoman tiedustelutoiminnan osalta, jolloin tiedon luovuttaminen rikostorjuntaan on osin säädetty jopa pakolliseksi. Näiltä osin ehdotus ei muodosta ristiriitaa edellä esitetyn perustuslakivaliokunnan kannan kanssa. Vähäisempien rikosten osalta saattaisi joissain tilanteissa tulla vastaan tilanne, jossa tällaiseen rikokseen liittyvää tietoa tulisi tiedustelutoiminnasta esitutkintaviranomaisen tietoon. Esimerkiksi tietojärjestelmän häirintärikoksesta tai tietomurrosta rangaistus on enintään kaksi vuotta vankeutta, jolloin edellä mainittu kynnys tiedon luovuttamiselle alittuisi, ellei rikos olisi vielä estettävissä. Tällaisissa tilanteissa ehdotuksen mukainen merkittävä tietoturvaloukkaus voisi tulla kyseeseen tilanteissa, jossa vähäisemmäksi rikokseksi määriteltyä toimintaa toteutetaan useampaan kohteeseen samaan aikaan, jolloin sen kerrannaisvaikutukset kasvavat. Tässäkin kohtaa tulee arvioitavaksi, onko kyseessä näiden rikosten törkeä tekomuoto, joka mahdollistaa tiedon luovuttamisen rikostorjuntaan. Tämän perusteella voidaan arvioida, että ehdotus ei tältä osin aiheuttaisi merkittävää poikkeusta tiedon luovuttamisen rajoituksiin.  

Toinen näkökulma rikostorjuntaan liittyen koskee Liikenne- ja viestintäviraston toiminnassa saadun tiedon luovuttamista rikostorjuntaan. Liikenne- ja viestintäviraston tehtävänä on turvata viestinnän luottamuksellisuutta esimerkiksi sen Kyberturvallisuuskeskuksen tehtävien kautta. Viraston eri tehtävien nojalla saaduille tiedoille ja Kyberturvallisuuskeskukselle tehtyjen vapaaehtoisten ilmoitusten kautta virasto saa tietoonsa myös sellaista tietoa, jonka saamiseksi rikostorjuntaviranomaiset ja tiedusteluviranomaiset joutuvat hakemaan luvan tuomioistuimesta oikeusturvan toteutumiseksi. Osin tästä syystä viraston hallussa olevalle tiedolle on säädetty erityisiä salassapitovelvoitteita ja luovuttamista koskevia rajoituksia. Viestin sisältöä, välitystietoja ja sijaintitietoja voidaan lähtökohtaisesti luovuttaa muille viranomaisille ainoastaan silloin, kun viranomainen itse on joutunut tai uhkaa joutua tietoturvaloukkauksen kohteeksi. Ehdotus muodostaisi tähän periaatteeseen poikkeuksen viranomaisten vastavuoroisen tiedon luovuttamisen tilanteessa. Jo edellä esitettyihin perusteluihin nojaten voidaan todeta, että poikkeuksen nojalla saatava hyöty viestinnän luottamuksellisuuden kannalta on huomattava suhteessa aiheutuneeseen haittaan. Toisaalta tiedon käyttötarkoituksen rajaamisella on tarkoitus varmistaa oikeusturvakeinojen toteutuminen jatkossakin  

11.2.4  Perusoikeuksien rajoitusedellytysten arviointi

Perusoikeuksien yleisten rajoitusedellytysten ja perustuslain 10 §:n 4 momentin rajoitusedellytyksen kannalta katsottuna ehdotus täyttäisi lailla säätämisen vaatimuksen. Täsmällisyyden ja tarkkarajaisuuden osalta tietoturvaloukkauksia koskevan tiedon vaihdon rajaaminen kaikilta osin on kokonaisuutena haastava. Tietoturvaloukkaus tai sen vakava uhka on käsitteenä laaja kattaen monenlaisia tekotapoja. Tekotavat myös kehittyvät jatkuvasti teknologian kehittyessä. Toisaalta myös loukkauksen tai uhkan kohteella on merkitystä. Loukkaus voi kohdistua yksittäiseen toimijaan tai laajasti tuhansiin yksityishenkilöihin ja olla siten yhtä lailla ehdotuksen tarkoittamalla tavalla merkittävä. Tietoturvaloukkauksen kohteeksi voivat joutua hyvin laajasti sekä yksityiset henkilöt, yritykset, yhteisöt tai viranomaiset. Tästä moninaisuudesta johtuen sääntelyn rajaaminen yksityiskohtaisesti on erittäin haastavaa, jotta voidaan turvata viranomaisten toimintamahdollisuus näissä kaikissa tilanteissa.  

Käsitteet kansallisesta turvallisuudesta, maanpuolustuksesta, ja julkisen vallan päätöksentekokyvystä ovat sisällöllisesti laajoja ja jossain määrin täsmentymättömiä. Ehdotuksessa ei myöskään ole ollut mahdollista tyhjentävästi luetella tiedon vaihdon kohteena olevia tietoja edellisessä kappaleessa esitetystä tilanteiden moninaisuudesta johtuen. Tästä syystä ehdotuksessa on pyritty tekemään muita rajauksia, joiden perusteella ehdotuksen voi katsoa täyttävän täsmällisyyden ja tarkkarajaisuuden vaatimuksen. Vaikka siis tietoturvaloukkauksen tai uhkan vaikutusten kohdentuminen on määritelty tietyiltä osin väljästi, ei ehdotuksen soveltamisesta käytännössä seuraa muita kuin välttämättömään tiedonvaihtoon liittyviä oikeuksia. Ehdotus eroaa tässä suhteessa merkittävästi esimerkiksi valmiuslain kirjauksista ehdotuksen oikeusvaikutusten ollessa huomattavasti suppeammat. Salassapito ei myöskään lakkaa vaihdettaessa tietoja viranomaisten välillä. Ehdotuksen mukainen tiedonvaihto on rajattu tiettyihin viranomaisiin, tiedot on rajattu koskemaan vain välttämättömiä tietoja ja niitä saisi käyttää vain tietoturvaloukkausten selvittämiseksi, ennalta ehkäisemiseksi tai vaikutusten poistamiseksi. Lisäksi vaikutusten tulee olla luonteeltaan vakavia. Vakavaa uhkaa koskien olisi lisäksi tehtävä suppeaa tulkintaa ja huomiota on kiinnitettävä vaikutusten toteutumisen todennäköisyyteen, jonka tulee olla suuri. Tältä osin voidaan arvioida, että täsmällisyyden ja tarkkarajaisuuden vaatimus kaikkinensa täyttyisi. 

Henkilötietoihin liittyen perustuslakivaliokunta on käytännössään täsmentänyt aiempiin tiedonvaihtoa koskeviin kriteereihin nähden, että salassa pidettävien henkilötietojen luovuttaminen ei ole mahdollista edes välttämättömyyskriteeriin perustuen, jos tiedonsaantioikeudet muutoin on määritelty väljästi ja yksilöimättä. (PeVL 19/2012 vp, s. 4/I ja siinä mainitut lausunnot). Ehdotuksen mukainen tiedonvaihto on määritelty tältä osin välttämättömyyskriteeriin sitoen ja toisaalta myös viranomaiset, joiden välillä tietoa voidaan vaihtaa, on määritelty yksilöiden, eikä ehdotuksen voida tältä osin katsoa olevan ongelmallinen perustuslain kannalta. 

Luottamuksellisen viestinnän suojan rajoittamisen hyväksyttävyyden kannalta erityistä merkitystä katsotaan olevan rajoituksen taustalla olevalla vakavalla yhteiskunnantoiminnan kannalta keskeisten toimintojen turvaamisen tarpeella. Myös perustuslain 10 §:n 4 momentissa edellytetään, että rajoitukset viestin salaisuuteen tulee olla välttämättömiä muun muassa yksilön tai yhteiskunnan turvallisuutta taikka kotirauhaa vaarantavien rikosten tutkinnassa taikka tiedon hankkimiseksi sellaisesta muusta toiminnasta, joka vakavasti uhkaa kansallista turvallisuutta. Vakavilla tietoturvaloukkauksilla voi olla kauaskantoisia ja monipolvisia vaikutuksia eri sektoreille ja sitä kautta sekä yksilön tai yhteiskunnan turvallisuuteen, että kansalliseen turvallisuuteen. Tietoturvaloukkaukset ovat omiaan heikentämään yksityiselämän suojaa ja toisaalta vaikutukset voivat kohteesta riippuen kohdistua myös esimerkiksi henkeen ja terveyteen. Tästä näkökulmasta ehdotuksella on katsottu olevan hyväksyttävä ja välttämättömyysvaatimuksen täyttävät perusteet luottamuksellisen viestinnän suojan rajoittamiselle.  

Suhteellisuusvaatimuksen kannalta oikeus tiedon luovuttamiseen tulisi kyseeseen vain yksittäisissä tapauksissa. Myös tiedon käyttöä on kohdennettu ja sen käyttötarkoitusta on rajoitettu. Taustalla oleva yhteiskunnallisten toiminnan kannalta keskeisten toimintojen turvaamiseen nähden rajoituksen on katsottu olevan oikeasuhtainen. Sääntelyn soveltamiselle on asetettu myös korkea soveltamiskynnys, mikä korostaa sääntelyn tarpeen välttämättömyyttä kyseisessä, jo erittäin vakavassa, turvallisuutta uhkaavassa tilanteessa. Tuolloin olisi tarpeen soveltaa poikkeuksellisia tiedonvaihto-oikeuksia.  

Oikeusturvajärjestelyjen riittävyyden osalta oikeusturvakeinot liittyvät käytännössä niihin viranomaisten toimintoihin, joiden nojalla tietoa varsinaisesti kerätään. Näitä olisivat siten erityisesti henkilötietojen käsittelyn, tiedustelutoiminnan ja rikostorjunnan yhteydessä käytettyjen salaisten tiedonhankintakeinojen ja tiedustelutoimintaan liittyvät toimivaltuudet. Ehdotuksen nojalla tällaiseen tietoon ei sisältyisi mahdollisuutta käyttää saatua tietoa syyksilukemiseksi, vaan tätä varten olisi käytettävä tavanomaisia keinoja. Ehdotuksella ei muodosteta viranomaisille varsinaista uutta tapaa hankkia tietoja muiden lakisääteisten tehtäviensä hoitamiseksi, vaan tietoa käytetään vain tietoturvaloukkausten selvittämisen yhteydessä. Lisäksi niiltä osin, kuin kyse on henkilötiedoista, ovat käytettävissä tietosuojaan liittyvät oikeusturvakeinot. Oikeusturvakeinojen katsotaan näiltä osin olevan riittävät.  

Esityksen katsotaan olevan yhdenmukainen ihmisoikeusvelvoitteiden kanssa. Tässä yhteydessä on erityinen merkitys Euroopan ihmisoikeussopimuksella, sellaisena kuin sen sisältö näyttäytyy Euroopan ihmisoikeustuomioistuimen oikeuskäytännön valossa. Ihmisoikeustuomioistuimen oikeuskäytännön mukaan luottamuksellisen viestinnän salaisuuden rajoitukselle on aina oltava painava yhteiskunnallinen tarve, puuttumisen ja tavoiteltavan hyväksytyn päämäärän tulee olla oikeassa suhteessa keskenään ja puuttumiselle pitää olla riittävän painavat ja hyväksyttävät perustelut. Lisäksi rajoitusten on oltava lain sallimia. Euroopan ihmisoikeustuomioistuimen oikeuskäytännössä on painotettu lain laatua, kuten täsmällisyyttä sekä viranomaistoiminnan ennustettavuutta turvaavaa ja vallan väärinkäyttöä estävää sääntelyä. Ehdotuksen katsotaan täyttävän nämä vaatimukset. 

11.2.5  Tietosuoja viranomaisten välisessä tiedonvaihdossa

Perustuslain 10 §:n 1 momentin mukaan jokaisen yksityiselämä, kunnia ja kotirauha on turvattu. Henkilötietojen suojasta säädetään tarkemmin lailla. Perustuslakivaliokunta on katsonut, että henkilötietojen suoja tulee ensisijaisesti toteuttaa EU:n yleisen tietosuoja-asetuksen ja kansallisen lainsäädännön nojalla ja rajata se vain välttämättömään tietosuoja-asetuksen salliman liikkumavaran puitteissa (PeVL 14/2018 vp, s. 4–5).  

Ehdotuksen 319 a §:n nojalla vaihdettaisiin myös henkilötiedoiksi katsottuja tietoja. Viranomaisten käsittelyoikeus näiden tietojen osalta laajenisi nimenomaan luovuttamisen näkökulmasta. Muilta osin käsittelyoikeus kyseisille tiedoille sinällään on jo olemassa. Ehdotuksessa kyse olisi siten yleisessä tietosuoja-asetuksen 4 artiklassa sekä rikosasioiden tietosuoja-lain 3 §:n 1 momentin 2 kohdassa tarkoitetusta tiedon käsittelystä, koska viranomaiset luovuttaisivat ja yhdistäisivät hallussaan olevia tietoja, kuten välitystietoja. Ehdotuksessa tarkoitettujen viranomaisten toimintaan tai toiminnan johonkin osaan sovelletaan osaltaan eri tietosuojasääntelyä, kuten on kuvattu nykytilaa koskevassa jaksossa 2.2.4. Ehdotuksen mukaisessa tilanteessa on siis mahdollista, että henkilötietoja vaihdettaessa tietoja käytettäisiin muuhun kuin alkuperäiseen käyttötarkoitukseen erityisesti, jos siirretään tietoja rikostorjuntaviranomaisten piiristä Liikenne- ja viestintävirastolle tai päinvastoin.  

Välitystiedot sinällään kuuluvat sähköisen viestinnän tietosuojadirektiivin kansallisen täytäntöönpanosääntelyn piiriin, jota on erityisesti SVPL:ssä. Merkitystä on erityisesti direktiivin 15 artiklan 1 kohdalla, jonka mukaan jäsenvaltiot voivat toteuttaa lainsäädännöllisiä toimenpiteitä, joilla rajoitetaan direktiivissä säädettyjä tiettyjä oikeuksia ja velvollisuuksia. Rajoitusten tulee olla välttämättömiä, asianmukaisia ja oikeasuhtaisia demokraattisen yhteiskunnan toimenpiteitä kansallisen turvallisuuden sekä puolustuksen, yleisen turvallisuuden tai rikosten tai sähköisten viestintäjärjestelmän luvattoman käytön torjunnan, tutkinnan, selvittämisen ja syyteharkinnan varmistamiseksi. Näiden kriteerien mukainen arviointi on arvioitu olevan yhdenmukainen edellä perusoikeuksien rajoitusoikeuksien mukaiseen arviointiin ja toisaalta yksityisyyden suojaa koskevan sääntelyn arviointiin. 

Säännös sinällään mahdollistaa kaiken välttämättömän tiedon vaihtamisen, mikä ei kategorisesti sulje pois mahdollisuutta henkilötietolaissa (1050/2018) määriteltyihin erityksiin henkilötietoryhmiin kuuluvien henkilötietojen vaihtamiselle. Ehdotetun sääntely rajaus luovutettavan tiedon välttämättömyydestä tietoturvaloukkauksen selvittämisen, ennalta ehkäisemisen ja vaikutusten poistamisen kannalta kuitenkin rajaa rajaa tällaisen tiedonvaihdon lähinnä teoreettiselle tasolle. Tällaisella tiedolla ei ole merkitystä tietoturvaloukkauksen selvittämisessä ja käsiteltäessä tällaisia tietoja mahdollisesti sisältäviä tietoja muiden käsittelyperusteiden nojalla esimerkiksi tietomurtoon liittyvän aineiston käsittelyn yhteydessä, niitä ei ole tarpeen luovuttaa toiselle viranomaiselle vaan ne on säännöksen mukaan hävitettävä tarpeettomina, ellei muualta laista muuta johdu. 

Yleisen tietosuoja-asetuksen 4 artiklassa säädettyjen henkilötietojen käsittelyä koskevien yleisten periaatteiden mukaan olennaista on erityisesti vaatimukset lainmukaisuudesta, kohtuullisuudesta ja läpinäkyvyydestä. Lisäksi henkilötietoja on kerättävä tiettyä, nimenomaista käyttötarkoitusta varten, eikä niitä saa käsitellä myöhemmin nähden tarkoitusten kanssa yhteen sopimattomalla tavalla. Henkilötiedon käyttötarkoituksesta poikkeamisesta säädetään tietosuoja-asetuksen 6 artiklan 4 kohdassa. Poikkeaminen voisi artiklan mukaan perustua jäsenvaltion lainsäädäntöön, joka muodostaa demokraattisessa yhteiskunnassa välttämättömän ja oikeasuhtaisen toimenpiteen 23 artiklan 1 kohdassa tarkoitettujen tavoitteiden turvaamiseksi. Tietosuoja-asetuksen johdanto-osan kohdassa 50 on todettu, että jos käsittely perustuu jäsenvaltion lainsäädäntöön, joka muodostaa demokraattisessa yhteiskunnassa välttämättömän ja oikeasuhtaisen toimenpiteen, jolla pyritään turvaamaan erityisesti yleiseen julkiseen etuun liittyviä tärkeitä tavoitteita, rekisterinpitäjälle olisi sallittava henkilötietojen myöhempi käsittely riippumatta tarkoituksen yhteensopivuudesta. Kaikissa tapauksissa olisi kuitenkin varmistettava erityisesti, että sovelletaan asetuksessa vahvistettuja periaatteita ja varmistettava erityisesti, että rekisteröidylle ilmoitetaan näistä muista tarkoituksista ja hänen oikeuksistaan, kuten oikeudesta vastustaan henkilötietojen käsittelyä.  

Ehdotuksessa käytettäisiin yleisen tietosuoja-asetuksen 23 artiklassa säädettyä kansallista liikkumavaraa siten, että ehdotetulla lainsäädäntötoimenpiteellä rajoitettaisiin 5 artiklassa säädettyä käyttötarkoitussidonnaisuutta. Ehdotuksella tavoiteltavien kansallista turvallisuutta turvaavien ja toisaalta rikosten ennaltaehkäisemistä mahdollistavien ehdotusten on katsottu olevan välttämättömiä sekä oikeasuhtaisia tavoiteltavaan oikeushyvään nähden. Käyttötarkoituksesta poikkeamiselle katsotaan olevan painavat yhteiskunnalliset perusteet yhteiskunnan kriittisten toimintojen suojaamisessa. Toisaalta oikeasuhtaisuuden vaatimusta on ehdotuksessa toteutettu rajaamalla tiedot välttämättömiin ja toisaalta pitämällä poikkeussäännöksen soveltamisen kynnyksen verrattain korkealla koskien vain vakavia tilanteita. 

Ehdotuksen mukainen tietojen luovuttaminen voisi joissakin tilanteissa tapahtua myös suoraan julkisuuslain 16 §:n 3 momentin nojalla. Aina kyse ei ole henkilötietojen käyttötarkoitussidonnaisuudesta poikkeamisesta, vaan käsittely voi tapahtua alkuperäisen tai sen kanssa yhteensopivan käsittelyperusteen nojalla. Tällöin henkilötietojen käsittelyperuste olisi yleisen edun mukaisen tehtävän suorittaminen ja rekisterinpitäjälle kuuluvan julkisen vallan käyttäminen. Muussa tapauksessa käsittelyn perustan muodostaisi asetuksen ehdotettu lainsäädäntö ja 6 (3) artiklan mukainen yleisen edun mukainen tavoite on yleisen turvallisuuden turvaaminen tietoturvaloukkaustilanteissa. Tietojen luovuttamista koskevan säännöksen katsotaan olevan oikeasuhtainen siihen liittyvät, edellä esitetyt rajaukset huomioiden, suhteessa tavoiteltuun päämäärään.