Perustelut

Euroopan unionin III pilarin voimassa oleva tietosuojasääntely koostuu tällä hetkellä erilaisten sopimusten ja muiden oikeudellisten instrumenttien muodostamasta kokonaisuudesta. Hallintovaliokunta on lukuisissa eri yhteyksissä painottanut tärkeänä aikaansaada III pilarin alalla yhteiset vaatimukset henkilötietojen käsittelylle poliisiyhteistyössä ja rikosasioita koskevassa oikeudellisessa yhteistyössä.

Tietosuojapuitepäätös perustuu Haagin ohjelmaan ja liittyy kiinteästi lainvalvonnassa tärkeiden tietojen saatavuusperiaatteeseen, joka on ollut tarkoitus ottaa käyttöön vuoden 2008 alusta. Saatavuusperiaate lisää huomattavasti tietojenvaihtoa lainvalvontaviranomaisten välillä. Suomi muiden muassa on pitänyt asianmukaisena lähtökohtana, että III pilarin tietosuojasääntöjen tulisi olla vahvistettu ennen saatavuusperiaatteen käyttöönottoa. Ehdotukseen neuvoston päätökseksi Prümin sopimuksen tiettyjen määräysten sisällyttämisestä EU:n lainsäädäntöön on kuitenkin katsottu perustelluksi sisällyttää myös tietosuojasäännökset puitepäätöksen valmistelun ollessa vielä kesken. Yhteisten tietosuojasäännösten saaminen III pilariin on tärkeää ja kiireellistä myös muuten kuin saatavuusperiaatteen takia. Eurooppa-neuvosto on kesäkuussa 2007 vahvistanut, että tietosuojapuitepäätöksestä tulisi päästä yhteisymmärrykseen viimeistään vuoden 2007 lopussa.

Valiokunta on pidetty huolellisesti ajan tasalla puitepäätöksen eri kehitysvaiheissa, ja valiokunta on voinut ottaa kantaa kulloinkin käsiteltävänä oleviin ehdotuksiin ja valtioneuvoston linjauksiin perusteellisesti laadittujen selvitysten pohjalta. Suomen kantojen huomioon ottamiseksi neuvotteluissa on tehty pitkäjänteistä ja tuloksekasta työtä.

Tietosuojapuitepäätöksen valmistelu on edennyt siihen vaiheeseen, että puheenjohtajavaltio on pyytänyt oikeus- ja sisäasioiden neuvostoa hyväksymään kokouksessaan 8.—9.11.2007 puitepäätöstä koskevan yleisnäkemyksen, joka kattaa päätösehdotuksen kaikki artiklat sekä yksilöidyt kohdat johdanto-osasta. Valiokunta toteaa, että tietosuojapäätöksen hyväksyminen on merkittävä edistysaskel henkilötietojen suojaamisessa III pilarin alalla. Myönteistä myös on, että uusien EU-maiden ja EU:n ulkopuolisten maiden kanssa tehtävälle tietojen vaihdolle saadaan näin yhtenäinen pohja.

Puitepäätösehdotuksen valmistelun lähtökohtana ovat olleet I pilarin tietosuojadirektiivin periaatteet ottaen samalla huomioon poliisiyhteistyön ja oikeudellisen yhteistyön erityistarpeet. Näitä lähtökohtia myös hallintovaliokunta on painottanut lausunnoissaan.

Nyt käsiteltävänä oleva puitepäätösehdotus sisältää säännökset henkilötietojen siirrosta jäsenvaltiolta toiselle jäsenvaltiolle tai päätöksessä määritellyille EU:n yksiköille ja elimille. Ehdotukseen sisältyvät myös säännökset siirrettyjen tietojen edelleen käsittelystä ja siirtämisestä kolmansien valtioiden toimivaltaisille viranomaisille ja kansainvälisille elimille. Ehdotuksessa säädetään lisäksi muun muassa rekisteröidyn oikeuksista, tietojen käsittelyn luottamuksellisuudesta ja turvallisuudesta sekä oikeussuojakeinoista ja kansallisista valvontaviranomaisista.

Puitepäätöksen valmistelussa valiokunta on pitänyt yhtenä keskeisenä kysymyksenä rekisteröidyn oikeuksia koskevaa sääntelyä. Puitepäätösehdotuksen mukaan rekisteröityä on informoitava henkilötietojen keruusta tai käsittelystä kansallisen lainsäädännön mukaisesti. Päätösehdotukseen myös sisältyy Suomen tärkeänä pitämä tietojen virheettömyysvaatimus. Ehdotukseen ei enää sisälly Suomen ongelmallisena pitämää säännöstä, joka mahdollistaisi sen, että rekisterinpitäjä voisi tietyissä tilanteissa kieltäytyä korjaamasta puutteellista tai virheellistä tietoa.

Puitepäätöksessä säädetään myös rekisteröidyn tarkastusoikeudesta. Ehdotuksen mukaan rekisteröidyllä on oikeus kohtuullisin väliajoin esitetystä pyynnöstä saada vapaasti ilman aiheetonta viivytystä ja aiheettomia kustannuksia vähintään rekisterinpitäjän tai kansallisen valvontaviranomaisen antama vahvistus siitä, onko häntä koskevia tietoja siirretty tai asetettu saataville, sekä tiedot tietojen vastaanottajista tai vastaanottajaryhmistä, joille tiedot on luovutettu, sekä käsiteltävät tiedot tai vähintään kansallisen valvontaviranomaisen antama vahvistus siitä, että tarvittavat varmennukset on tehty. Säännös ei velvoita antamaan tietoja käsittelyn tarkoituksista eikä tietojen alkuperästä käytettävissä olevia tietoja. Ehdotuksen mukaan jäsenvaltiot voivat säätää tarkastusoikeutta koskevista rajoituksista säännöksessä tarkemmin yksilöidyissä tapauksissa, jos rajoitus on asianomaisen henkilön oikeutetut edut asianmukaisesti huomioon ottaen välttämätön ja oikeasuhtainen toimenpide. Valiokunta pitää ehdotettua sääntelyä tyydyttävänä ja Suomen kannan mukaisena.

Puitepäätöksen mukaan toiselta jäsenvaltiolta saatuja tietoja saa siirtää kolmansille maille tai kansainvälisille elimille ainoastaan tiettyjen edellytysten täyttyessä. Edellytyksenä on muun muassa, että tietojen vastaanottaja takaa riittävän tietosuojan tason ja että tietojen siirtoon on sen jäsenvaltion etukäteissuostumus, jolta tiedot on saatu. Eräissä poikkeustapauksissa tietoja voidaan siirtää myös silloin, kun kolmas maa tai kansainvälinen elin ei takaa riittävää tietosuojan tasoa. Poikkeukset vastaavat pitkälti Euroopan neuvoston tietosuojasopimuksen lisäpöytäkirjan vastaavia poikkeuksia, ja selvityksen mukaan niitä voidaan pitää perusteltuina. Tietosuojan tason riittävyyden arviointi säädetään jäsenvaltioiden tehtäväksi. Puitepäätöksen asianomaiseen artiklaan on otettu Suomen tärkeänä pitämät kriteerit tietosuojan tason arvioimiseksi.

Ehdotuksen mukaan puitepäätös ei vaikuta kolmansien valtioiden kanssa tehtyjen kahden- tai monenvälisten sopimusten mukaisiin jäsenvaltioiden tai Euroopan unionin velvoitteisiin ja sitoumuksiin, jotka ovat olemassa silloin, kun puitepäätös tehdään. Näitä sopimuksia sovellettaessa on kuitenkin noudatettava puitepäätöksen säännöksiä etukäteissuostumuksesta, kun kolmannelle valtiolle siirretään toiselta jäsenvaltiolta saatuja tietoja.

Suomi on usean muun jäsenvaltion tavoin pitänyt tavoiteltavana sitä, että puitepäätös koskisi rajat ylittävän tietojen käsittelyn lisäksi myös henkilötietojen kansallista käsittelyä. Nyt käsiteltävä puitepäätösehdotus kattaa neuvoston syyskuussa 2007 vahvistaman yhteisymmärryksen mukaisesti ainoastaan rajat ylittävän tietojen käsittelyn. Puitepäätöksen mukaan soveltamisalaa tullaan arvioimaan uudelleen viiden vuoden kuluttua puitepäätöksen tekemisestä. Komissio laatii vuoden kuluessa neuvostolle ja Euroopan parlamentille kertomuksen arvioinnin tuloksista ja liittää tarvittaessa kertomukseen asiaan kuuluvia muutosehdotuksia. Lisäksi puitepäätöksen johdanto-osan mukaan jäsenvaltiot aikovat varmistaa, että kansallisessa tietojenkäsittelyssä noudatettava tietosuojan taso vastaa puitepäätöksessä säädettyä tietosuojan tasoa. Valiokunta toteaa, että päätösehdotuksessa omaksuttu ratkaisu on Suomen neuvottelulinjauksen mukainen, ja valiokunnan mielestä ratkaisua voidaan pitää hyväksyttävänä kompromissina.

Puitepäätöksen johdanto-osan mukaan puitepäätös ei vaikuta puitepäätöksen voimaantullessa voimassa oleviin, täydellisen tietosuojasäännöstön sisältäviin oikeudellisiin instrumentteihin, kuten esimerkiksi Europol, Eurojust, SIS sekä yhteinen tullitietokanta CIS, jotka jäävät edelleen sovellettaviksi. Puitepäätöksen 27 b artiklan perusteella muiden niin sanottujen vanhojen instrumenttien osalta sovelletaan puitepäätöksen määräyksiä, paitsi siltä osin kuin ne sisältävät tiedon käyttöä koskevia erityissäännöksiä.

Puitepäätöksen johdanto-osan mukaan puitepäätös ei myöskään vaikuta sellaisiin tietosuojasäännöksiin, jotka koskevat DNA-tunnisteiden, sormenjälkitietojen ja kansallisten ajoneuvorekisteritietojen automatisoitua siirtämistä jäsenvaltioiden välillä rajat ylittävän yhteistyön tehostamisesta erityisesti terrorismin ja rajat ylittävän rikollisuuden torjumiseksi tehdyn neuvoston päätöksen nojalla.

Todettakoon lisäksi, että puitepäätös ei vaikuta Euroopan neuvoston tietosuojasopimuksen ja sen tietojen siirtoa kolmansiin maihin koskevan lisäpöytäkirjan eikä rikosasioissa tehtävää oikeudellista yhteistyötä koskevien Euroopan neuvoston yleissopimusten soveltamiseen.

Puitepäätökseen liittyy myös — aiempaan ehdotukseen sisältyneen artiklan sijaan — neuvoston julistus III pilarin nykyisten neljän tietosuojaviranomaisen korvaamisesta yhdellä yhteisellä valvontaviranomaisella. Julistusluonnoksen mukaan neuvosto tarkastelee, miten nykyisten tietosuojan valvontaviranomaisten toiminnat voitaisiin tulevaisuudessa yhdistää yhdeksi tietosuojan valvontaviranomaiseksi ottaen samalla huomioon kyseisten järjestelmien ja elinten erityisluonne. Selvityksen mukaan yhteinen valvontaviranomainen voisi toimia myös neuvonantajan ominaisuudessa. Julistusluonnoksen mukaan yhteinen valvontaviranomainen voisi edistää tietosuojan organisointia rikosasioissa tehtävässä poliisi- ja oikeudellisessa yhteistyössä. Valiokunta viittaa lausunnossaan HaVL 3/2007 vp painottamiinsa näkökohtiin ja katsoo, että kysymyksen tuominen esiin julistuksen muodossa mahdollistaa valiokunnan tärkeinä pitämien näkökohtien huomioon ottamisen (HaVL 3/2007 vp) mukaan lukien myös sen seikan, ettei kysymyksellä saisi viivästyttää tietosuojapuitepäätöksen voimaantuloa.

Tietosuojapuitepäätöksestä arvioidaan mahdollisesti aiheutuvan joitakin muutostarpeita kansalliseen henkilötietojen käsittelyä koskevaan erityissääntelyyn, lähinnä poliisin, tullin ja rajavartiolaitoksen alalla. Eräiltä osin mahdollisia muutostarpeita on jo varauduttu ottamaan huomioon parhaillaan käynnissä olevien lainsäädäntöhankkeiden yhteydessä. Valiokunta pitää tarpeellisena, että puitepäätöksen tarkempia lainsäädäntövaikutuksia ja tarkoituksenmukaisinta implementointitapaa arvioidaan koordinoidusti ja yhteistyössä eri hallinnonalojen kesken. Lisäksi valiokunta vielä viittaa kirjelmän mainintaan, että puitepäätösehdotus kuuluu Ahvenanmaan itsehallintolain (1144/1991) mukaan osittain maakunnan toimivaltaan.

Asiassa saadun selvityksen perusteella hallintovaliokunta puoltaa puitepäätöksen hyväksymistä.